Fortinet: Kelemahan kritikal dalam FortiOS, FortiSIEM dan banyak lagi
Fortinet telah mengeluarkan kemas kini menangani pelbagai kelemahan keselamatan kritikal dan keterukan tinggi merentas FortiSIEM, FortiFone, FortiOS, FortiSASE, dan FortiSwitchManager. Kelemahan dalam produk Fortinet sering disasarkan oleh penyerang; organisasi harus mengutamakan penerapan tampalan ini.
Isu kritikal
FortiSIEM – Suntikan arahan jauh (CVE-2025-64155)
CVSS 9.4 – Kritikal. Penyerang tidak disahkan pada rangkaian boleh menyuntik arahan dan kod sewenang-wenangnya melalui permintaan TCP yang dibuat khas, disebabkan penapisan input yang tidak mencukupi digunakan dalam arahan sistem operasi.
Dibetulkan dalam: FortiSIEM 7.4.1, 7.3.5, 7.2.7, dan 7.1.9. Versi lama mesti berpindah ke pelepasan yang dibetulkan.
FortiFone – Akses tidak disahkan kepada data sensitif (CVE-2025-47855)
CVSS 9.3 – Kritikal. Penyerang tidak disahkan boleh memperoleh maklumat sensitif daripada portal web FortiFone melalui permintaan HTTP atau HTTPS yang dimanipulasi, tanpa log masuk.
Dibetulkan dalam: FortiFone 7.0.2 dan 3.0.24 atau lebih baharu.
Keterukan tinggi
FortiOS, FortiSASE, FortiSwitchManager – Limpahan penimbal heap (CVE-2025-25249)
CVSS 7.4 – Tinggi. Permintaan yang dibuat khas kepada daemon cw_acd boleh mencetuskan limpahan penimbal berasaskan heap; penyerang rangkaian tidak disahkan boleh mencapai pelaksanaan kod.
Mitigasi sementara: Buang akses "fabric" pada semua antara muka di mana boleh dilakukan.
Dibetulkan dalam: FortiOS 7.6.4, 7.4.9, 7.2.12, 7.0.18, 6.4.17; FortiSASE 25.2.c; FortiSwitchManager 7.2.7 dan 7.0.6 atau lebih baharu. FortiSASE 25.1.a.2 terjejas; berpindah ke 25.2.c diperlukan.
Fortinet juga telah menangani isu keterukan sederhana dan rendah tambahan dalam FortiClientEMS, FortiVoice, dan FortiSandbox. Pasukan keselamatan harus mengesahkan versi produk berbanding makluman rasmi dan menjadualkan kemas kini segera.
Sumber: FortiGuard PSIRT – FG-IR-25-772 (Suntikan arahan jauh tidak disahkan)