Alvorlig sårbarhed i FortiWeb kan snart blive kritisk for mange

En nyopdaget sårbarhed i Fortinet FortiWeb kan udnyttes til at omgå autentificering fuldstændigt. 

Sårbarheden med id’et CVE-2025-52970 er blevet patchet, men en researcher har offentliggjort en delvis exploit og varsler fuld offentliggørelse.  Det skriver Bleeping Computer.

Der er tale om en alvorlig sårbarhed i Fortinet FortiWeb med CVSS-score på 7,7. Bleeping Computer tilføjer, at den reelle udnyttelseskompleksitet er lavere end angivet, da brute-force delen er hurtig og simpel.

Konkret er det en webapplikations-firewall, der anvendes bredt i både offentlige og private infrastrukturer. Sårbarheden har fået navnet FortMajeure og den tillader en fjernangriber at omgå autentificering og få adgang som enhver aktiv bruger – inklusive administratorer.

Out-of-bounds write

Fejlen skyldes en out-of-bounds læsning i FortiWebs cookie-parsing, hvor parameteren Era kan sættes til en uventet værdi. Dette får serveren til at anvende en nulstillet hemmelig nøgle til sessionskryptering og HMAC-signering, hvilket gør det simpelt at forfalske gyldige autentificeringscookies.

For at udnytte sårbarheden kræves det, at en legitim bruger har en aktiv session, og at angriberen gætter et lille numerisk felt i cookien. Feltet valideres af funktionen refresh_total_logins() i libncfg.so, og forskeren vurderer, at søgeområdet typisk er under 30, hvilket gør brute-force angrebet hurtigt og lavt i kompleksitet.

Sårbarheden påvirker FortiWeb-versionerne 7.0 til og med 7.6, mens FortiWeb 8.0 og nyere er ikke påvirket. Der er ingen kendte workarounds, og Fortinet anbefaler opgradering som eneste effektive afhjælpning. 

Delvis proof-of-concept tilgængelig

Allerede nu har researcheren med navnet Aviv Y offentliggjort en delvis proof-of-concept, der demonstrerer administrator-impersonering via REST-endpoints. Han har ifølge Bleeping Computer valgt at tilbageholde den fulde exploit, som også omfatter adgang til FortiWeb CLI via /ws/cli/open, for at give systemadministratorer tid til at opdatere.

Men han planlægger, hedder det, at offentliggøre hele exploit-kæden senere, hvilket øger risikoen for aktiv udnyttelse betragteligt.

Det anbefales at opdatere FortiWeb-installationer med det samme.