Krytyczna podatność w produktach Fortinet – przepełnienie bufora umożliwia zdalne wykonanie kodu | Centrum e-Zdrowia

Infolinia CeZ 24h/7   19 239

Tłumacz PJM

Unia Europejska Flaga Unii Europejskiej

ręce na klawiaturze i lewitujące ikony

Krytyczna podatność w produktach Fortinet – przepełnienie bufora umożliwia zdalne wykonanie kodu

CSIRT CeZ informuje o krytycznej podatności CVE-2025-32756 w zabezpieczeniach produktów Fortinet, która otrzymała wysoką ocenę 9.8 w skali CVSS. Może ona umożliwić zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu lub poleceń poprzez spreparowane żądania HTTP. Wiemy już także, że opisywana podatność była aktywnie wykorzystywana jako zero-day w atakach wymierzonych w systemy telefoniczne FortiVoice dla przedsiębiorstw. Jednak ze względu na specyfikę sektora istotne jest, że dotyczy wybranych wersji popularnego rozwiązania, jakim jest system klasy SMG FortiMail, który odpowiada za bezpieczeństwo elektronicznej korespondencji mailowej.

Produkty Fortinet, których dotyczy podatność i ich wersje:  

  1. FortiVoice- Systemy telefoniczne VoIP dla przedsiębiorstw.  
    Wersje:  
    • 7.2.0,  
    • 7.0.0 - 7.0.6,  
    • 6.4.0 - 6.4.10,    
  2. FortiRecorder- Rejestratory rozmów i wideo.  
    Wersje:  
    • 7.2.0 - 7.2.3,  
    • 7.0.0 - 7.0.5,  
    • 6.4.0 - 6.4.5,    
  3. FortiMail- serwery pocztowe.  
    Wersje:  
    • 7.6.0 - 7.6.2,  
    • 7.4.0 - 7.4.4,  
    • 7.2.0 - 7.0.7,  
    • 7.0.0 - 7.0.8,    
  4. FortiNDR- platforma do wykrywania i reagowania na zagrożenia sieciowe.  
    Wersje:  
    • 7.6.0,  
    • 7.4.0 - 7.4.7,  
    • 7.2.0 - 7.2.4,  
    • 7.0.0 - 7.0.6,    
  5. FortiCamera - kamery IP do monitoringu.  
    Wersje:  
    • 2.1.0 - 2.1.3,  
    • 2.0 - wszystkie wersje,  
    • 1.1 - wszystkie wersje.  

Jak działa podatność  

Podatność oznaczona identyfikatorem CVE-2025-32756 wynika z błędu przepełnienia bufora. Nieuwierzytelniony atakujący może wysłać specjalnie spreparowane żądanie HTTP do podatnego urządzenia Fortinet. Przetworzenie takiego żądania może spowodować zapisanie danych poza przeznaczonym obszarem pamięci (buforem). To w konsekwencji może doprowadzić do zdalnego wykonania dowolnego kodu w systemie docelowym. Skutkiem udanego ataku może być przejęcie kontroli nad urządzeniem, naruszenie poufności i integralności danych, a także niedostępność usług.  

Szczegóły podatności  

  • CVE ID: CVE-2025-32756  
  • CVSS Score: 9.8 (Krytyczny)  
  • Wektor ataku: Sieć (AV:N)  
  • Złożoność ataku: Niska (AC:L)  
  • Uprawnienia: Nie wymagane (PR:N)  
  • Interakcja użytkownika: Nie wymagana (UI:N)  
  • Zakres: Niezmieniony (S:U)  
  • Wpływ na poufność: Wysoki (C:H)  
  • Wpływ na integralność: Wysoki (I:H)  
  • Wpływ na dostępność: Wysoki (A:H)  

Działania zapobiegawcze  

  • Zalecamy niezwłoczną aktualizację oprogramowania Fortinet do najnowszych dostępnych wersji, zgodnie z wytycznymi producenta.  
  • Jako tymczasowe obejście problemu zaleca się wyłączenie interfejsu administracyjnego HTTP/HTTPS na urządzeniach Fortinet, jeśli nie jest on niezbędny do zarządzania. Należy jednak pamiętać, że jest to tylko środek tymczasowy i nie zastępuje aktualizacji oprogramowania.  

Więcej informacji  

Szczegółowy opis podatności jest dostępny na Fortiguard oraz stronie NVD.