CVE-2025-25257
Corrija agora. Ela está sob exploração confirmada pelo CISA e tem exploit funcional público.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Resumo
Falha de SQL Injection não autenticada na interface administrativa (GUI) do FortiWeb, permitindo que um atacante sem credenciais execute comandos SQL arbitrários via requisições HTTP/HTTPS manipuladas. A Fortinet confirma exploração ativa em ambiente real, e pesquisadores demonstraram que a injeção pode ser encadeada para escrita de arquivo e execução remota de código — o CVSS 9.6 não é exagero: a falha é crítica e trivialmente alcançável em qualquer FortiWeb com a GUI administrativa exposta.
Detalhamento técnico
A vulnerabilidade está classificada como CWE-89 (Improper Neutralization of Special Elements used in an SQL Command) no componente GUI do FortiWeb. O advisory da Fortinet não detalha o endpoint exato, mas o autor do PoC público nomeou o repositório e o blog técnico de referência como 'fortiweb-fabric-rce', indicando que o ponto de injeção está associado à funcionalidade 'Fabric' da GUI — provavelmente em uma rotina que processa dados de autenticação/identificação de dispositivo enviados via requisição HTTP e os concatena diretamente em uma consulta SQL sem sanitização.
Por ser pré-autenticação (PR:N, UI:N no vetor CVSS) e explorável remotamente com baixa complexidade (AV:N, AC:L), o atacante controla parâmetros de uma requisição HTTP/HTTPS enviada à interface de administração e consegue injetar sintaxe SQL que é interpretada pelo backend de banco de dados do FortiWeb.
O ponto crítico que a descrição oficial não deixa explícito: a superfície de ataque é a interface administrativa (GUI), não o plano de dados de inspeção de tráfego web. Isso significa que o pré-requisito real de exposição não é 'FortiWeb processando tráfego HTTP de terceiros', mas sim 'porta administrativa HTTP/HTTPS alcançável pelo atacante' — algo que em muitas implantações fica restrito a uma rede de gerência, mas que em várias instalações reais (inclusive as visadas nos ataques observados) está exposto à internet.
Como é explorada
O vetor é uma requisição HTTP ou HTTPS crafted enviada à interface administrativa do FortiWeb, sem necessidade de autenticação prévia, interação do usuário ou condição de rede especial além de alcançar a porta de gerência. A Fortinet confirmou exploração in-the-wild antes mesmo da publicação pública de exploit, e a CISA adicionou a falha ao catálogo KEV em 18/07/2025, com prazo de mitigação até 08/08/2025.
Existe PoC público (repositório com exp.py e signed.py, e publicação no Exploit-DB) que demonstra a cadeia completa: a injeção SQL é usada não apenas para extrair dados do banco interno, mas para escrever arquivos no sistema (o nome do projeto do pesquisador — 'fabric-rce' — indica que a exploração pode escalar para execução remota de código, não ficando restrita a leitura/alteração de dados). Isso eleva o impacto muito além de um SQLi comum: comprometimento total do appliance.
A combinação de PoC funcional publicado, template Nuclei disponível e presença no KEV torna a janela de exploração automatizada em massa (scanning oportunista) bastante provável para qualquer instância com a GUI exposta e não corrigida.
Versões
Como se proteger
A correção definitiva é atualizar para as versões corrigidas publicadas pela Fortinet: 7.6.4+ (para a série 7.6.0–7.6.3), 7.4.8+ (para 7.4.0–7.4.7), 7.2.11+ (para 7.2.0–7.2.10) e 7.0.11+ (para 7.0.0–7.0.10). A série 6.4 não é afetada.
Se a atualização imediata não for possível, o próprio fornecedor lista como workaround desabilitar a interface administrativa HTTP/HTTPS — ou seja, remover o vetor de rede que a exploração depende. Isso tem custo operacional real: perde-se acesso remoto à GUI de gerência até a correção ser aplicada, obrigando acesso local/console ou por outro canal restrito (rede de gerência isolada, VPN, ACL). Restringir a exposição da porta administrativa a uma rede de gerência confiável, mesmo sem desabilitar totalmente, reduz drasticamente a superfície, mas não é o workaround oficialmente validado pela Fortinet — a única mitigação reconhecida no advisory é a desativação completa da interface.
Não há mitigação eficaz via WAF genérico para SQLi neste caso, porque o ponto de injeção é a própria interface de gerência do produto de segurança — colocar outro dispositivo de inspeção na frente da GUI administrativa raramente é prática comum e não substitui a correção de versão.
Como detectar
Procure em logs de acesso à interface administrativa HTTP/HTTPS do FortiWeb por requisições anômalas contendo sintaxe SQL (aspas, comentários SQL, UNION, palavras-chave como SELECT/INSERT) em campos de cabeçalho ou corpo relacionados a funcionalidades de 'Fabric'/autenticação de dispositivo. A existência de template Nuclei público sugere que scanners automatizados já testam ativamente esse endpoint — picos de requisições repetitivas e malformadas à porta de gerência são um indicador razoável.
Não há um indicador de comprometimento único e confiável divulgado publicamente pela Fortinet além da recomendação de atualizar e revisar acessos à GUI; ambientes que não centralizam logs da interface administrativa podem não ter visibilidade retroativa suficiente para confirmar exploração anterior à correção.