Fortinet cảnh báo về lỗ hổng FortiWeb CVE-2025-58034 mới bị khai thác trái phép

[Starlink]

Fortinet đã cảnh báo về một lỗ hổng bảo mật mới trong FortiWeb mà họ cho biết đã bị khai thác trên thực tế.

Lỗ hổng bảo mật có mức độ nghiêm trọng trung bình, được theo dõi là CVE-2025-58034, có điểm CVSS là 6,7 trên thang điểm tối đa là 10,0.

"Việc vô hiệu hóa không đúng các thành phần đặc biệt được sử dụng trong lỗ hổng OS Command ('OS Command Injection') [CWE-78] trong FortiWeb có thể cho phép kẻ tấn công đã được xác thực thực thi mã trái phép trên hệ thống cơ bản thông qua các yêu cầu HTTP hoặc lệnh CLI được tạo thủ công", công ty cho biết trong thông báo hôm thứ Ba.

Nói cách khác, các cuộc tấn công thành công yêu cầu kẻ tấn công phải xác thực bản thân thông qua một số phương tiện khác và kết nối với CVE-2025-58034 để thực thi các lệnh hệ điều hành tùy ý.

Vấn đề này đã được giải quyết trong các phiên bản sau:

    FortiWeb 8.0.0 đến 8.0.1 (Nâng cấp lên 8.0.2 trở lên)
    FortiWeb 7.6.0 đến 7.6.5 (Nâng cấp lên 7.6.6 trở lên)
    FortiWeb 7.4.0 đến 7.4.10 (Nâng cấp lên 7.4.11 trở lên)
    FortiWeb 7.2.0 đến 7.2.11 (Nâng cấp lên 7.2.12 trở lên)
    FortiWeb 7.0.0 đến 7.0.11 (Nâng cấp lên 7.0.12 trở lên)

Công ty ghi nhận công lao của nhà nghiên cứu Jason McFadyen của Trend Micro vì đã báo cáo lỗ hổng theo chính sách tiết lộ có trách nhiệm của mình.

Điều thú vị là sự phát triển này diễn ra vài ngày sau khi Fortinet xác nhận rằng họ đã âm thầm vá một lỗ hổng FortiWeb quan trọng khác ( CVE-2025-64446, điểm CVSS: 9.1) trong phiên bản 8.0.2.

"Chúng tôi đã kích hoạt các nỗ lực ứng phó và khắc phục sự cố PSIRT ngay khi biết được vấn đề này, và những nỗ lực đó vẫn đang tiếp tục", một phát ngôn viên của Fortinet nói với The Hacker News. "Fortinet luôn cân bằng giữa cam kết bảo mật của khách hàng và văn hóa minh bạch có trách nhiệm của chúng tôi."

Hiện vẫn chưa rõ lý do tại sao Fortinet lại chọn vá lỗ hổng mà không đưa ra khuyến cáo. Tuy nhiên, động thái này đã khiến các bên bảo mật gặp bất lợi, khiến họ không thể đưa ra phản ứng phù hợp.

VulnCheck lưu ý vào tuần trước: "Khi các nhà cung cấp công nghệ phổ biến không thông báo các vấn đề bảo mật mới, họ đang mời gọi những kẻ tấn công trong khi vẫn giữ thông tin đó khỏi những người bảo vệ".