CVE-2025-57716

چکیده

آسیب‌پذیری مسیر جستجوی کنترل‌نشده در FortiClient Windows به مهاجم لوکال با دسترسی پایین اجازه می‌دهد تا با قرار دادن یک DLL مخرب در پوشه نصب‌کننده آنلاین (Online Installer)، حمله DLL Hijacking انجام دهد و منجر به اجرای کد دلخواه با سطح دسترسی بالاتر شود.

توضیحات

آسیب‌پذیری CVE‑2025‑57716 از نوع مسیر جستجوی کنترل‌نشده مطابق با CWE‑427 در نصب‌کننده آنلاین (Online Installer) نرم‌افزار FortiClient Windows است. در این سناریو، نصب‌کننده هنگام اجرا، کتابخانه‌های پویا (DLL) مورد نیاز خود را از مسیرهایی بارگذاری می‌کند که برای کاربر لوکال با سطح دسترسی پایین (low‑privileged user) قابل‌نوشتن است. این عملکرد ناامن باعث می‌شود مهاجم لوکال بتواند با قرار دادن یک DLL مخرب در همان مسیر، ترتیب جستجوی کتابخانه‌ها را تغییر داده و در نتیجه هنگام اجرای نصب‌کننده، DLL مخرب به‌جای نسخه اصلی بارگذاری شود.

در چنین شرایطی، کد تعبیه‌شده توسط مهاجم در زمینه‌ی فرآیند نصب‌کننده اجرا می‌شود؛ فرآیندی که معمولاً با سطح دسترسی بالاتر عمل می‌کند. این امر به مهاجم امکان اجرای کد دلخواه با سطح دسترسی بالاتر را می‌دهد. بهره‌برداری از این آسیب‌پذیری نیازی به دسترسی مدیریتی یا تعامل خاصی از سوی کاربر ندارد. مهاجم تنها باید بتواند فایل DLL خود را در پوشه نصب‌کننده آنلاین کپی کند. از این طریق، حمله می‌تواند به‌صورت خودکار و بدون هشدار قابل مشاهده برای کاربر انجام شود.

پیامد این ضعف، اجرای کد غیرمجاز در سطح سیستمی و در نتیجه نقض کامل سه اصل امنیتی محرمانگی، یکپارچگی و در دسترس‌پذیری است. با سوءاستفاده از این آسیب‌پذیری، مهاجم قادر است به داده‌های حساس دسترسی یابد، فایل‌ها را تغییر دهد یا کنترل کامل سیستم را به دست آورد. Fortinet این آسیب‌پذیری را در نسخه‌های جدیدتر پچ کرده است. کاربران نسخه‌های 7.4.0 تا 7.4.3 باید به نسخه 7.4.4 یا بالاتر و کاربران نسخه‌های 7.2.0 تا 7.2.11 به نسخه 7.2.12 یا بالاتر به‌روزرسانی کنند. شاخه‌ی 7.0 نیز دیگر پشتیبانی رسمی ندارد و باید با یکی از نسخه‌های پچ شده جایگزین شود.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Fortinet را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری با شدت متوسط، امکان اجرای کد دلخواه را برای مهاجمان لوکال با دسترسی پایین در محیط‌های ویندوزی فراهم می‌کند. با توجه به انتشار پچ‌های رسمی، اقدامات زیر برای کاهش ریسک و جلوگیری از بهره‌برداری ضروری است:

• به‌روزرسانی فوری: تمام کلاینت‌های FortiClient Windows را به نسخه 7.4.4 یا بالاتر و 7.2.12 یا بالاتربه روزرسانی کنید. شاخه‌ی 7.0 که دیگر پشتیبانی رسمی ندارد، باید با یکی از نسخه‌های پچ شده جایگزین شود. این اقدام، مؤثرترین و قطعی‌ترین راهکار برای رفع آسیب‌پذیری است و باید در اولویت قرار گیرد. سایر اقدامات نقش مکمل را دارند و می‌توانند به کاهش ریسک این آسیب پذیری و مقابله با حملات مشابه کمک کنند.
• استفاده از نصب‌کننده آفلاین: برای نصب‌های جدید، همیشه از نسخه کامل آفلاین (Full Offline Installer) استفاده کنید که در برابر این ضعف ایمن است و به مسیرهای قابل نوشتن وابسته نیست.
• محدودسازی دسترسی به پوشه‌ها: پوشه‌های موقت و دانلود را برای کاربران معمولی به صورت غیرقابل نوشتن (non‑writeable) تنظیم کنید. همچنین می‌توانید از سیاست‌های امنیتی مانند AppLocker یا Windows Defender Application Control (WDAC) برای جلوگیری از اجرای کتابخانه‌های DLL امضا‌نشده استفاده نمایید.
• دانلود از منبع معتبر: فایل‌های نصب را فقط از پورتال رسمی Fortinet یا FortiGuard دریافت کرده و یکپارچگی آن‌ها را با بررسی چِک‌سام (Checksum) یا امضای دیجیتال تأیید کنید.
• استفاده از سامانه‌های تشخیص و پاسخ اندپوینت (EDR/XDR): راهکارهایی مانند FortiEDR یا سایر ابزارهای مشابه می‌توانند فعالیت‌های مشکوک بارگذاری DLL را شناسایی و مسدود کنند..
• آموزش کاربران: به کاربران آموزش دهید که از اجرای نصب‌کننده‌ی FortiClient از مسیرهای قابل نوشتن مانند Downloads خودداری کنند و سیاست‌های امنیتی سازمان برای نصب نرم‌افزارها را به‌روشنی تدوین نمایید.

اجرای سریع این اقدامات، به‌ویژه به‌روزرسانی به نسخه‌های پچ شده، احتمال بهره‌برداری از این ضعف را به حداقل رسانده و سطح امنیت کلاینت‌های FortiClient در محیط‌های سازمانی را به‌طور قابل‌توجهی افزایش می‌دهد.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)

در این سناریو مهاجم از راه دور وارد نمی‌شود؛ دسترسی اولیه باید لوکال و با سطح دسترسی پایین باشد. مهاجم معمولاً از طریق حساب کاربری محدود، Session فعال یا حضور در دستگاه سازمانی وارد می‌شود و سپس مسیر را برای بهره‌برداری از DLL Hijacking باز می‌کند.

Execution (TA0002)

اجرای DLL مخرب زمانی اتفاق می‌افتد که نصب‌کننده آنلاین FortiClient فراخوانی می‌شود و به‌جای DLL اصلی، نسخه تزریق‌شده توسط مهاجم لود می‌گردد. این مرحله عملاً نقطه اجرای کد RCE در سطح Local Context و ورود به فرآیند با سطح دسترسی بالاتر است.

Privilege Escalation (TA0004)

نصب‌کننده با سطح دسترسی بالاتر اجرا می‌شود و DLL مخرب را لود می‌کند، در نتیجه مهاجم از Low-Privileged User → High Privileged Execution Context ارتقا پیدا می‌کند. مهاجم می‌تواند از این مسیر کنترل سیستمی، دستکاری فایل‌های حساس یا اجرای دائمی بدافزار را دنبال کند.

Defense Evasion (TA0005)

بهره‌برداری مبتنی بر DLL Hijacking ماهیتاً stealth است، چون در جریان طبیعی بارگذاری DLL اتفاق می‌افتد و امضای کد یا رفتار غیرعادی خاصی نداشته و می‌تواند توسط بسیاری از AV/EDRها نادیده گرفته شود. مهاجم با قرار دادن DLL در مسیر معتبر، عملاً از مکانیزم‌های امنیتی مبتنی بر Trust Path عبور می‌کند.

Discovery (TA0007)

پس از موفقیت در Local Privilege Escalation، مهاجم می‌تواند سیستم را برای یافتن سرویس‌ها، فایل‌ها، تنظیمات امنیتی یا مسیرهای حساس بررسی کند. این قدم به‌صورت مستقیم از آسیب‌پذیری نشأت نمی‌گیرد اما بلافاصله بعد از بهره‌برداری محتمل است.

Collection (TA0009)

پس از اجرای موفق DLL مخرب، مهاجم می‌تواند فایل‌های موجود در سطح سیستم، تنظیمات امنیتی یا داده‌های ذخیره‌شده در endpoint را استخراج کند. این مرحله نتیجه مستقیم Local Privilege Escalation است.

Impact (TA0040)

اجرای کد دلخواه با سطح دسترسی بالا می‌تواند به دستکاری سیستم‌عامل، خرابکاری، پاک‌کردن داده‌ها، تغییر پیکربندی‌ها یا ایجاد بک‌دور منجر شود. تأثیر نهایی نقض سه‌گانه امنیتی (CIA) است و می‌تواند کنترل کامل دستگاه را به مهاجم بدهد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-57716
2. https://www.cvedetails.com/cve/CVE-2025-57716/
3. https://fortiguard.fortinet.com/psirt/FG-IR-25-685
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-57716
5. https://vuldb.com/?id.328309
6. https://nvd.nist.gov/vuln/detail/CVE-2025-57716
7. https://cwe.mitre.org/data/definitions/427.html