Laburpen exekutiboa
Fortinetek bere produktuetako ahultasun larriak daudela baieztatu du. FortiVoice-n, 7.2.0 eta 7.2.2 bertsioetan eta 7.0.0 eta 7.0.7 bertsioetan, SQL injezio bat dago, horrek baimendutako erasotzaile bati agindu kaltegarriren bat exekutatzea ahalbidetzen dio, sistemaren integritatea arriskuan jarriz, CVSS puntuazioa 8.8 izanik. FortiClient-en, sarbide kontrol insufiziente baten ahultasun bat detektatu da, horrek erabiltzaile lokal bati kode ez baimendua exekutatzea ahalbidetu dezake, CVSS puntuazioa 7.8 izanik. Halaber, FortiClient-en bertsio zehatzetan buffer gainditze bat egon daiteke, kode arbitrarioa exekutatzea eraginez, 7.8ko balorazio berarekin. Konponbideak aplikatzeko premia handia dago, ahultasun hauek sistemaren segurtasunerako arrisku nabarmenak baitira. Oso garrantzitsua da berehala jardutea posible diren esplotazioak arintzeko.
Eragindako baliabideak
- FortiClient Windows 7.4 (baliabide eragindakorrak: 7.4.0 eta 7.4.3, konponbidea: 7.4.4ra edo goragoko batera eguneratzea)
- FortiClient Windows 7.2 (baliabide eragindakorrak: 7.2.0 eta 7.2.9, konponbidea: 7.2.10era edo goragoko batera eguneratzea)
- FortiVoice 7.2 (baliabide eragindakorrak: 7.2.0 eta 7.2.2, konponbidea: 7.2.3ra edo goragoko batera eguneratzea)
- FortiVoice 7.0 (baliabide eragindakorrak: 7.0.0 eta 7.0.7, konponbidea: 7.0.8ra edo goragoko batera eguneratzea)
Azterketa teknikoa
- CVE-2025-58692: Fortinet FortiVoice 7.2.0 eta 7.2.2 eta 7.0.0 eta 7.0.7 bertsioetan SQL injezio baten ahultasunak baimendutako erasotzaile bati HTTP edo HTTPS eskaera zehatzak erabiliz kode edo agindu ez baimenduen bat exekutatzea ahalbidetzen dio. Potentzialeko eragina sistemaren integritatea eta konfidentzialtasuna arriskuan jartzea da. Ahultasun hau esplotatzeko, erasotzaileak sisteman autentifikatuta egon behar du.
- CWE-89
- CVSS: 8.8 (handia)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
- CVE-2025-47761: Fortinet FortiClient-en sarbide kontrol insufiziente baten ahultasunak baimendutako erabiltzaile lokal bati kode ez baimendua exekutatzea ahalbidetzen dio. Potentzialeko eragina sistemaren segurtasuna arriskuan jartzea da fortips gidariaren bidez. Ahultasun hau esplotatzeko, erasotzaileak Windows-en memoria babesteko neurriak saihestu behar ditu eta VPN IPSec balidatu eta aktibo bat izan behar du.
- CWE-782
- CVSS: 7.8 (handia)
- CVSS bektorea: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
- CVE-2025-46373: Fortinet FortiClient-en 7.4.0 eta 7.4.3 eta 7.2.0 eta 7.2.8 bertsioetan mendi gainditze baten ahultasunak [CWE-122] baimendutako IPSec erabiltzaile lokal bati "fortips_74.sys" bidez kode edo agindu arbitrarioak exekutatzea ahalbidetu dezake. Potentzialeko eragina sisteman kode kaltegarria exekutatzea da. Ahultasun hau esplotatzeko, erasotzaileak Windows-en mendiaren integritate babesa saihestu behar du.
- CWE-122
- CVSS: 7.8 (handia)
- CVSS bektorea: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
Arintzea/Konponbidea
Segurtasun arazoak arintzeko, fabrikatzaileak hurrengo eguneratzeak gomendatzen ditu: FortiClient Windows 7.4 bertsiorako (7.4.0 eta 7.4.3), 7.4.4ra edo goragoko batera eguneratzea; FortiClient Windows 7.2 bertsiorako (7.2.0 eta 7.2.9), 7.2.10era edo goragoko batera eguneratzea; FortiVoice 7.2 bertsiorako (7.2.0 eta 7.2.2), 7.2.3ra edo goragoko batera eguneratzea; eta FortiVoice 7.0 bertsiorako (7.0.0 eta 7.0.7), 7.0.8ra edo goragoko batera eguneratzea.