Fortinet đã cảnh báo về một lỗ hổng bảo mật mới trong FortiWeb mà họ cho biết đang bị khai thác trong thực tế.
Lỗ hổng mức độ nghiêm trọng trung bình, được theo dõi là CVE-2025-58034, có điểm CVSS là 6.7 trên thang điểm tối đa 10.0.
"Một lỗ hổng Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') [CWE-78] trong FortiWeb có thể cho phép kẻ tấn công đã xác thực thực thi mã trái phép trên hệ thống cơ bản thông qua các yêu cầu HTTP hoặc lệnh CLI được tạo thủ công," công ty cho biết trong một bản tư vấn hôm thứ Ba.
Nói cách khác, các cuộc tấn công thành công yêu cầu kẻ tấn công phải xác thực bản thân thông qua một phương tiện khác trước, sau đó kết hợp nó với CVE-2025-58034 để thực thi các lệnh hệ điều hành tùy ý.
Các phiên bản bị ảnh hưởng và bản vá
Lỗ hổng đã được khắc phục trong các phiên bản sau:
- FortiWeb 8.0.0 đến 8.0.1 (Nâng cấp lên 8.0.2 hoặc cao hơn)
- FortiWeb 7.6.0 đến 7.6.5 (Nâng cấp lên 7.6.6 hoặc cao hơn)
- FortiWeb 7.4.0 đến 7.4.10 (Nâng cấp lên 7.4.11 hoặc cao hơn)
- FortiWeb 7.2.0 đến 7.2.11 (Nâng cấp lên 7.2.12 hoặc cao hơn)
- FortiWeb 7.0.0 đến 7.0.11 (Nâng cấp lên 7.0.12 hoặc cao hơn)
Công ty đã ghi nhận nhà nghiên cứu Jason McFadyen của Trend Micro đã báo cáo lỗ hổng theo chính sách tiết lộ có trách nhiệm của họ.
Điều thú vị là, diễn biến này xảy ra vài ngày sau khi Fortinet xác nhận rằng họ đã âm thầm vá một lỗ hổng FortiWeb nghiêm trọng khác (CVE-2025-64446, điểm CVSS: 9.1) trong phiên bản 8.0.2.
"Chúng tôi đã kích hoạt phản ứng PSIRT và nỗ lực khắc phục ngay khi biết về vấn đề này, và những nỗ lực đó vẫn đang tiếp diễn," một phát ngôn viên của Fortinet nói với The Hacker News. "Fortinet cân bằng một cách cẩn trọng cam kết của chúng tôi đối với an ninh của khách hàng và văn hóa minh bạch có trách nhiệm của chúng tôi."
Hiện tại vẫn chưa rõ tại sao Fortinet lại chọn vá các lỗ hổng mà không phát hành bản tư vấn. Nhưng động thái này đã đặt các nhà phòng thủ vào thế bất lợi, khiến họ không thể đưa ra phản ứng đầy đủ.
"Khi các nhà cung cấp công nghệ phổ biến không truyền đạt các vấn đề bảo mật mới, họ đang phát ra lời mời cho kẻ tấn công trong khi chọn giữ thông tin đó khỏi những người phòng thủ," VulnCheck đã lưu ý vào tuần trước.
