چکیده

آسیب‌پذیری بحرانی در Fortinet FortiWeb نسخه‌های 7.6.0 تا 7.6.3، 7.4.0 تا 7.4.7، 7.2.0 تا 7.2.10 و 7.0.0 تا 7.0.10 به دلیل عدم خنثی‌سازی مناسب المنت های خاص در دستورات SQL است که برای مهاجمان بدون نیاز به احراز هویت امکان تزریق
SQL (SQL Injection) را فراهم می‌کند. مهاجم می‌تواند از طریق ارسال درخواست‌های HTTP یا HTTPS مخرب از راه دور، کدها و دستورات SQL دلخواه خود را اجرا کرده و به سیستم دسترسی غیرمجاز پیدا کند.

توضیحات

آسیب‌پذیری CVE-2025-25257 در FortiWeb، فایروال اپلیکیشن وب محصول Fortinet، به دلیل ضعف در پردازش ورودی‌های HTTP یا HTTPS، به مهاجمان اجازه می‌دهد که کدها و دستورات SQL دلخواه را از راه دور اجرا کنند. این آسیب‌پذیری از نوع CWE-89 است که در آن ورودی‌های HTTP به درستی پاک‌سازی نمی‌شوند و مهاجم می‌تواند کد SQL مخرب خود را از طریق درخواست‌های HTTP یا HTTPS ارسال کند.

این ضعف در نسخه‌های مختلف FortiWeb شامل 7.6.0 تا 7.6.3، 7.4.0 تا 7.4.7، 7.2.0 تا 7.2.10 و 7.0.0 تا 7.0.10 وجود دارد. مهاجم بدون نیاز به احراز هویت می‌تواند کدها و دستورات SQL دلخواه را اجرا کرده و به سیستم دسترسی پیدا کند. این دستورات ممکن است منجر به اجرای کد دلخواه (RCE) شوند که در نتیجه آن، مهاجم می‌تواند به طور کامل کنترل دستگاه را به دست آورد. دلیل این امر این است که سیستم به درستی ورودی‌ها را فیلتر نکرده و مهاجم می‌تواند کدهای خود را در حافظه سرور اجرا کند.

این آسیب‌پذیری از طریق شبکه، بدون نیاز به احراز هویت یا تعامل کاربر قابل بهره‌برداری است. پیامدهای آن شامل نقض شدید محرمانگی با سرقت داده‌های حساس، یکپارچگی با تغییر فایل‌های سیستم و در دسترس‌پذیری با اختلال در سرویس FortiWeb است.

این آسیب‌پذیری در دنیای واقعی مورد بهره‌برداری قرار گرفته و در فهرست CISA (فهرست آسیب‌پذیری‌های شناخته‌شده مورد بهره‌برداری) قرار گرفته است که نشان می‌دهد در حال حاضر به صورت فعال توسط مهاجمان در حملات سایبری استفاده می‌شود.

کد اثبات مفهومی (PoC) منتشر شده به مهاجمان کمک می‌کند تا با ارسال درخواست‌های HTTP مخرب، SQL Injection را فعال کرده و دستورات دلخواه خود را روی سرور اجرا کنند. همچنین، با استفاده از این ابزار، مهاجم می‌تواند فایل‌های مخرب نظیر وب‌شل‌ها را به سرور هدف ارسال کرده و از طریق آن‌ها دستورات سیستم را اجرا کند.

لازم به ذکر است این آسیب‌پذیری به دلیل شدت بحرانی، به فهرست CISA Known Exploited Vulnerabilities (KEV) اضافه شده است. شرکت Fortinet برای رفع این آسیب پذیری و جلوگیری از بهره برداری پچ های امنیتی منتشر کرده است.

CVSS

 لیست محصولات آسیب پذیر

لیست محصولات بروز شده

 استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Fortinet FortiWeb را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

 نتیجه گیری

این آسیب‌پذیری در FortiWeb، به دلیل امکان تزریق SQL بدون احراز هویت و شدت بحرانی، تهدیدی جدی برای سیستم‌های فایروال اپلیکیشن وب محسوب می شود که می‌تواند منجر به اجرای کد از راه دور و کنترل کامل دستگاه شود. برای کاهش ریسک و حفاظت از سیستم ها اجرای فوری اقدامات زیر توصیه می شود:

• به‌روزرسانی فوری: FortiWeb را به نسخه‌های 7.6.4، 7.4.8، 7.2.11 و 7.0.11 به‌روزرسانی کنید تا اصلاحات امنیتی اعمال شود.
• محدودسازی رابط ادمین: دسترسی به رابط‌های مدیریتی HTTP/HTTPS را محدود یا غیرفعال کنید و مدیریت دستگاه را تنها از طریق شبکه‌های امن یا VPN انجام دهید.
• نظارت بر هدرها: هدرهای Authorization را برای شناسایی نشانه‌های SQL Injection نظارت کنید.
• تشخیص نفوذ: از IDS/IPS برای شناسایی تلاش‌های تزریق SQL در اندپوینت های /api/fabric/device/status استفاده کنید.
• بررسی فایل‌ها: سرور را بررسی کنید تا فایل‌های غیرمنتظره‌ای که ممکن است شامل وب‌شل یا اسکریپت‌های مخرب باشند، شناسایی شوند.
• پشتیبان‌گیری: از تنظیمات و داده‌های FortiWeb نسخه پشتیبان تهیه کنید.
• آموزش کاربران: مدیران شبکه را در مورد ریسک SQL Injection و اهمیت به‌روزرسانی فوری آگاه کنید.

اجرای این اقدامات ریسک بهره برداری از آسیب پذیری را به حداقل رسانده و امنیت FortiWeb را در برابر حملات سایبری به طور قابل توجهی افزایش می دهد.

امکان استفاده در تاکتیک های Mitre Atatck

Initial Access (TA0001)

مهاجم می‌تواند از طریق تزریق SQL در فایروال اپلیکیشن وب FortiWeb بدون نیاز به احراز هویت، دستورات SQL دلخواه را ارسال کرده و به سیستم دسترسی پیدا کند. این آسیب‌پذیری از نوع CWE-89 است که در آن ورودی‌های HTTP به درستی پاک‌سازی نمی‌شوند.

Execution (TA0002)

پس از تزریق موفق SQL، مهاجم قادر به اجرای کد از راه دور (RCE) در سرور هدف خواهد بود. دستورات SQL ممکن است شامل دستورات سیستم یا وب‌شل‌ها باشند که به مهاجم اجازه می‌دهند کنترل دستگاه را به دست آورند و دستورات سیستم را اجرا کنند.

Persistence (TA0003)

این آسیب‌پذیری ممکن است باعث ذخیره شدن کدهای مخرب در پایگاه داده یا فایل‌های سرور شود که می‌تواند باعث اجرای مکرر کدهای مخرب در هر بار درخواست به سرور گردد.

Privilege Escalation (TA0004)

اگر مهاجم به روش‌های دیگری مانند سرقت نشست‌ها و کوکی‌ها، دسترسی‌های بالاتر را به دست آورد، می‌تواند از این آسیب‌پذیری برای افزایش سطح دسترسی به دستگاه و استفاده از آن به‌عنوان پلتفرم برای حملات بیشتر استفاده کند.

Defense Evasion (TA0005)

این حمله می‌تواند از ابزارهای نظارتی عبور کند، زیرا تزریق SQL از طریق درخواست‌های HTTP انجام می‌شود و ورودی‌ها به نظر مشروع می‌رسند. این باعث می‌شود که به راحتی از سیستم‌های امنیتی یا فایروال‌ها عبور کند.

Lateral Movement (TA0008)

پس از دسترسی به دستگاه، مهاجم می‌تواند از اطلاعات به‌دست‌آمده برای حرکت در داخل شبکه استفاده کرده و به سایر بخش‌ها یا سیستم‌ها حمله کند.

Collection (TA0009)

مهاجم می‌تواند اطلاعات حساس از جمله داده‌های نشست کاربران، کوکی‌ها یا اطلاعات حساب‌های کاربری را از پایگاه داده یا فایل‌های سرور جمع‌آوری کند.

Exfiltration (TA0010)

داده‌های جمع‌آوری‌شده از طریق تزریق SQL ممکن است به سرورهای مهاجم ارسال شوند، به این ترتیب اطلاعات حساس مانند کوکی‌ها، توکن‌ها، اطلاعات حساب‌ها یا دیگر داده‌های مهم سرقت شود.

Impact (TA0040)

پیامدهای این آسیب‌پذیری شامل سرقت داده‌های حساس مانند کوکی‌ها و اطلاعات حساب‌ها، تغییر فایل‌های سیستم و داده‌ها، اختلال در عملکرد FortiWeb و قطع دسترسی به سیستم‌ها، و اجرای کد از راه دور (RCE) است که به مهاجم امکان کنترل دستگاه را می‌دهد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-25257
2. https://www.cvedetails.com/cve/CVE-2025-25257/
3. https://fortiguard.fortinet.com/psirt/FG-IR-25-151
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-25257
5. https://vuldb.com/en/?id.316770
6. https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-25257
7. https://github.com/imbas007/CVE-2025-25257
8. https://github.com/TheStingR/CVE-2025-25257
9. https://nvd.nist.gov/vuln/detail/CVE-2025-25257
10. https://cwe.mitre.org/data/definitions/89.html