آسیب پذیری روز صفر در فورتی وب
⚠️ آسیب‌پذیری «Path Confusion» در رابط کاربری FortiWeb
🕒 انتشار: ۱۴ نوامبر ۲۰۲5
🔎 نوع آسیب‌پذیری: Relative Path Traversal — CWE-23
CVE-2025-64446
📝 خلاصه
یک آسیب‌پذیری Path Confusion در بخش GUI محصولات FortiWeb شناسایی شده که به مهاجم غیرمجاز اجازه می‌دهد از طریق درخواست‌های HTTP/HTTPS ساختگی، دستورات مدیریتی (Admin Commands) را روی سیستم اجرا کند.
🚨 نکته مهم:
Fortinet اعلام کرده این آسیب‌پذیری در فضای واقعی (in the wild) مورد سوءاستفاده قرار گرفته است
🛠️ نسخه‌های آسیب‌پذیر و نسخه‌های امن
📌 نسخه FortiWeb ❗ نسخه‌های آسیب‌پذیر ✅ نسخه پیشنهادی (Patch)
8.0 8.0.0 → 8.0.1 ارتقا به 8.0.2 یا بالاتر
7.6 7.6.0 → 7.6.4 ارتقا به 7.6.5 یا بالاتر
7.4 7.4.0 → 7.4.9 ارتقا به 7.4.10 یا بالاتر
7.2 7.2.0 → 7.2.11 ارتقا به 7.2.12 یا بالاتر
7.0 7.0.0 → 7.0.11 ارتقا به 7.0.12 یا بالاتر
⚙️ راهکار موقت (Workaround)
🔒 تا زمان ارتقا، دسترسی HTTP/HTTPS روی اینترفیس‌های اینترنتی را غیرفعال کنید.
Fortinet توصیه می‌کند:
اگر رابط مدیریتی فقط از داخل شبکه قابل دسترسی باشد (Best Practice)، ریسک بسیار کمتر خواهد بود.
🔍 اقدامات پس از ارتقا
پس از نصب نسخه امن:
📁 پیکربندی‌ها را بررسی کنید
🧾 لاگ‌ها را برای تغییرات مشکوک یا ایجاد اکانت‌های مدیریتی غیرمجاز بررسی کنید
اطلاعات بیشتر
