CVE-2025-58034

Vulnerabilidade de injeção de comandos OS (CWE-78) em múltiplos pontos da API e da CLI do FortiWeb, que permite a um atacante já autenticado executar comandos arbitrários no sistema subjacente ao dispositivo. O CVSS de 6.7 parece modesto, mas a Fortinet confirma exploração ativa e a CISA colocou a falha no KEV com prazo de correção de apenas 7 dias — sinal de que o requisito de autenticação não está impedindo ataques reais.

A falha é uma injeção de comando de sistema operacional (CWE-78): algum componente do FortiWeb constrói comandos de shell a partir de entrada fornecida via requisições HTTP à API de administração ou via comandos digitados na CLI, sem neutralizar corretamente caracteres especiais de shell. O resultado é execução de comandos arbitrários no sistema operacional subjacente ao appliance, fora do contexto normal de gestão da aplicação.

O advisory da Fortinet fala em 'Multiple OS command injection in API and CLI' — plural —, indicando que não é um único ponto de injeção, e sim mais de um caminho de código vulnerável, tanto na interface de API quanto na interface de linha de comando. A Fortinet não detalhou publicamente quais endpoints de API ou quais comandos de CLI específicos são o vetor, então não há confirmação de qual parâmetro exato é o gatilho — qualquer afirmação nesse nível seria especulação.

O vetor de ataque (AV:N) é de rede, mas o vetor de privilégio (PR:H) exige privilégios altos: o atacante precisa já estar autenticado com um nível de acesso elevado no FortiWeb (não é uma falha pré-autenticação). AC:L indica que, uma vez com esse acesso, a exploração é trivial, sem passos adicionais de engenharia. O impacto é total (C:H/I:H/A:H): comprometimento completo de confidencialidade, integridade e disponibilidade do sistema.

FortAppSec Cloud, produto SaaS da Fortinet, foi explicitamente declarado como não afetado pela vulnerabilidade.

O pré-requisito central é acesso autenticado com privilégios elevados ao FortiWeb — via painel de administração (HTTP/HTTPS) ou via CLI. Isso reduz drasticamente a superfície de ataque direta pela internet: um atacante sem credenciais administrativas não consegue disparar a falha isoladamente. Na prática, o risco real surge em combinação com outras técnicas — credenciais administrativas vazadas, reuso de senha, exploração prévia de outra falha de autenticação, ou acesso interno indevido — que entreguem esse nível de acesso ao atacante antes de encadear a injeção de comando.

A Fortinet afirma ter observado exploração ativa no mundo real ("Fortinet has observed this to be exploited in the wild"), e a CVE está no catálogo KEV da CISA com prazo de correção de apenas sete dias após a publicação — tratamento reservado a falhas com exploração confirmada e ativa. Curiosamente, o campo interno de metadados do próprio advisory da Fortinet marca "Known Exploited: No", o que é inconsistente com o texto do mesmo documento e com a inclusão no KEV; vale considerar essa marcação como desatualizada ou erro de preenchimento, não como negação da exploração.

Existem módulo Metasploit e PoC pública documentados para esta CVE, o que baixa a barreira técnica para replicar o ataque assim que o atacante tenha as credenciais/privilégios necessários. Combinado com EPSS de ~0,56 (alto para o universo de CVEs), o cenário mais provável de exploração é: comprometimento de credenciais administrativas do FortiWeb por outro meio, seguido de execução de comandos via API ou CLI para obter shell no sistema subjacente ao WAF — o que efetivamente entrega controle total sobre um dispositivo de borda de segurança.

A correção definitiva é atualizar para as versões que a Fortinet publicou por branch: 8.0.2 ou superior (para a linha 8.0), 7.6.6 ou superior (para 7.6), 7.4.11 ou superior (para 7.4), 7.2.12 ou superior (para 7.2), e 7.0.12 ou superior (para 7.0). A versão 6.4 não é afetada.

Como controle compensatório quando a atualização imediata não é viável, restrinja e monitore rigoramente quem tem acesso administrativo (API e CLI) ao FortiWeb — já que a exploração depende de credenciais com privilégios altos. Isso inclui: eliminar contas administrativas compartilhadas ou com senhas fracas, exigir MFA para acesso ao painel de gestão, restringir a interface de administração a redes de gestão isoladas (fora da internet pública) e revisar logs de acesso administrativo por atividade anômala. Nenhuma dessas medidas neutraliza a vulnerabilidade em si — apenas reduz a chance de um atacante obter o nível de privilégio necessário para explorá-la.

Não há mitigação por configuração publicada pela Fortinet que substitua o patch (nenhuma flag ou desativação de recurso foi indicada no advisory). Tratar a exposição da interface administrativa à internet como suficientemente segura por si só é o mito mais comum aqui: dado que a Fortinet já confirmou exploração ativa e a CISA exige remediação em prazo curto, a atualização de versão é a única mitigação validada pelo fornecedor.

Nem o advisory da Fortinet nem o registro da CISA no KEV publicaram indicadores de comprometimento, assinaturas de tráfego ou padrões de log específicos associados à exploração observada. Na ausência de IOCs oficiais, a defesa prática é auditar logs de autenticação administrativa (GUI, API e CLI) do FortiWeb por logins de contas privilegiadas fora do padrão esperado (horário, origem de IP, geolocalização), e revisar histórico de comandos executados via CLI e chamadas à API de administração por sequências que fujam do uso operacional normal — já que a exploração ocorre dentro de uma sessão já autenticada, não há tráfego de 'ataque' distinto de uma sessão administrativa legítima até o momento da execução do comando malicioso.