Um pesquisador de segurança divulgou uma prova de conceito parcial para uma vulnerabilidade no firewall de aplicativo web FortiWeb, que permite que um atacante remoto ignore a autenticação.
A falha foi comunicada de forma responsável à Fortinet e agora é rastreada como
CVE-2025-52970
.
A Fortinet liberou uma correção em 12 de Agosto.
O pesquisador de segurança, Aviv Y, nomeou a vulnerabilidade de FortMajeure e a descreve como um "falha silenciosa que não deveria acontecer".
Tecnicamente, é uma leitura fora dos limites na análise de cookie do FortiWeb que permite a um atacante definir o parâmetro Era para um valor inesperado.
Isso faz com que o servidor utilize uma chave secreta toda zero para criptografia de sessão e assinatura HMAC, tornando a criação de cookies de autenticação falsificados trivial.
A exploração resulta em uma completa evasão de autenticação, permitindo que o atacante se passe por qualquer usuário ativo, incluindo um administrador.
Para explorar o
CVE-2025-52970
com sucesso, o usuário alvo deve ter uma sessão ativa durante o ataque, e o adversário deve realizar um brute-force em um pequeno campo numérico no cookie.
A exigência de brute-force vem de um campo no cookie assinado que é validado pela função refresh_total_logins() (em libncfg.so).
Este campo é um número desconhecido que o atacante deve adivinhar, mas o pesquisador observa que o intervalo geralmente não é superior a 30, tornando-o um espaço de busca extremamente pequeno de cerca de 30 solicitações.
Como o exploit usa a chave toda zero (devido ao bug do Era), cada suposição pode ser testada instantaneamente verificando se o cookie forjado é aceito.
O problema afeta o FortiWeb 7.0 ao 7.6, e foi corrigido nas seguintes versões:
- FortiWeb 7.6.4 e posteriores
- FortiWeb 7.4.8 e posteriores
- FortiWeb 7.2.11 e posteriores
- FortiWeb 7.0.11 e posteriores
A Fortinet diz no boletim que as versões FortiWeb 8.0 não são impactadas por essa questão, portanto, nenhuma ação é necessária lá.
O boletim de segurança não lista soluções alternativas ou conselhos de mitigação, então a atualização para uma versão segura é a única ação eficaz recomendada.
A pontuação de severidade CVSS da Fortinet de 7.7 pode ser enganosa, pois deriva de uma "alta complexidade de ataque" devido à exigência de brute-force.
Na prática, no entanto, a parte de brute-forcing é simples e rápida de realizar.
O pesquisador compartilhou um output de PoC, mostrando a personificação de admin em um endpoint REST.
No entanto, ele reteve o exploit completo que também abrange a conexão com o CLI do FortiWeb através de /ws/cli/open.
Contudo, Aviv Y prometeu publicar os detalhes completos da exploração mais tarde, já que o comunicado do fornecedor foi lançado recentemente.
O pesquisador tomou esta decisão para dar mais tempo aos administradores de sistemas para aplicar a correção.
Os detalhes publicados demonstram o cerne do problema, mas não são suficientes para que atacantes informados infiram o restante e desenvolvam uma cadeia totalmente armada, o pesquisador informou ao site BleepingComputer.
Ele explicou que os atacantes teriam que fazer engenharia reversa do formato dos campos na sessão, o que é impraticável dado que a Fortinet possui suas próprias estruturas de dados.
Apesar disso, ações imediatas devem ser tomadas para mitigar o problema, pois os hackers acompanham estes anúncios de perto e se preparam para agir quando PoCs completos estiverem disponíveis.
Publicidade
Mantenha seus dados longe de hackers e ameaças digitais com a NordVPN, uma das mais rápidas e seguras do mundo. Com tecnologia de criptografia avançada, você protege até 10 dispositivos e ainda conta com recursos poderosos como bloqueio de malware, monitoramento da dark web e backup criptografado. Aproveite até 70% de desconto e experimente com garantia de reembolso de 30 dias. Segurança digital nunca foi tão fácil e eficiente. Saiba mais...