FortiManager és FortiAnalyzer útvonal-bejárási hibája: a csak olvasási jogú felhasználók is írhatnak és törölhetnek fájlokat (CVE-2025-61625)

Mi történt

A Fortinet a hibát a fájlútvonal korlátozott könyvtárra vonatkozó nem megfelelő korlátozásaként írja le – ezt útvonal-bejárásnak nevezik – a FortiManager és a FortiAnalyzer JSON API-jában. A támadó, aki olyan profillal tud hitelesíteni, amely kizárólag olvasási jogosultságot ad, speciálisan kialakított HTTP- vagy HTTPS-kérésekkel fájlokat írhat és törölhet a mögöttes fájlrendszeren. A támadáshoz hálózati hozzáférés szükséges az API-hoz, alacsony szintű jogosultság, és nincs szükség felhasználói beavatkozásra; ezért a kockázat akkor is fennáll, ha a fiókot szándékosan kizárólag olvasásra korlátozták.

A Fortinet a sérülékenységet magas súlyosságúra értékeli, CVSS 3.1 szerinti pontszáma 7,3. A vektor szerint nincs hatás a bizalmasságra, az integritásra és a rendelkezésre állásra gyakorolt hatás viszont magas. A Fortinet nem számolt be aktív kihasználásról, a CVE-rekord pedig nem sorolja a hibát a CISA Known Exploited Vulnerabilities katalógusába. A rekord szerint a sérülékenységet nem hozták nyilvánosságra.

Kit érint

A Fortinet az alábbi érintett verziókat sorolja fel:

• FortiManager 7.6.0–7.6.4, 7.4.0–7.4.7 és 7.2.0–7.2.11
• FortiAnalyzer 7.6.0–7.6.4, 7.4.0–7.4.7 és 7.2.0–7.2.11
• FortiManager Cloud 7.6.0–7.6.4, 7.4.1–7.4.7 és 7.2.1–7.2.10

Ezek a termékek jellemzően központi felügyeleti és naplóelemzési szerepkörökben működnek. A JSON API HTTP-n vagy HTTPS-en érhető el. A Fortinet biztonsági közleménye egyelőre nem sorol fel javított verziókat.

Mit kell most tenni

1. Korlátozza a FortiManager és a FortiAnalyzer felügyeleti és JSON API-végpontjainak elérését megbízható felügyeleti hálózatokra vagy egy dedikált interfészre. Ne hagyja őket közvetlenül az internet felől elérhetővé.
2. Vizsgálja felül az összes olyan fiókot, amelynek profilja kizárólag olvasási joggal rendelkezik. Távolítsa el vagy függessze fel azokat, amelyekre működési szempontból nincs szükség, az automatizált vagy külső felek általi hozzáférésekhez pedig használjon külön hitelesítő adatokat.
3. Figyelje az érintett rendszereken a váratlan fájlírásokat és -törléseket, és kezelje gyanúsként azokat a változásokat, amelyek csak olvasási jogú API-fiókokból indulnak ki.
4. Kövesse figyelemmel a Fortinet FG-IR-26-190 jelű biztonsági közleményét a javított kiadások vagy a gyártói kerülő megoldás érdekében. Mivel javítás vagy kerülő megoldás még nem jelent meg, ne telepítsen nem támogatott javításokat.

Hogyan észlelhető

A Fortinet nem tett közzé kompromittálódásra utaló jeleket ehhez a hibához. Vizsgálja át a FortiManager és a FortiAnalyzer API-naplóit olyan HTTP- vagy HTTPS-kérések után, amelyek csak olvasási profilokból érkeznek, és fájlírási vagy fájltörlési műveleteknek felelnek meg. Vizsgáljon ki minden váratlan fájllétrehozást vagy fájltörlést a mögöttes fájlrendszeren, és vesse össze ezeket a változásokat az alacsony jogosultságú vagy csak olvasási jogú fiókok API-hozzáféréseivel.

A javításon túl

Az azonnali kockázatcsökkentésen túl ez arra is emlékeztet, hogy egy kizárólag olvasási jogú API-fiók is támadási felület, ha az API-ban hiba van. Az Ellátási lánc védelem és harmadik felek kockázatai segít nyomon követni, hogy mely Fortinet-verziókat futtatja, és a gyártói javítási ciklust, amely végül megszünteti ezt a kitettséget. Ha egy alacsony jogosultságú fiókkal visszaélnek, a Menedzselt kiberbiztonsági felügyelet képes észlelni az ebből eredő fájlírási és -törlési tevékenységet a gazdagépen.