A equipe Metasploit da Rapid7 lançou um novo módulo de exploração direcionado a vulnerabilidades críticas de dia zero no FortiWeb da Fortinet firewall de aplicativo webencadeando duas falhas de segurança para obter execução remota de código não autenticado com privilégios de root.
| ID do CVE | Tipo de vulnerabilidade | Produto afetado | Impacto |
|---|---|---|---|
| CVE-2025-64446 | Ignorar autenticação | Fortinet FortiWeb | Criação de conta administrativa, escalonamento de privilégios |
| CVE-2025-58034 | Injeção de comando | Fortinet FortiWeb | Execução remota de código com privilégios de root |
Cadeia Dupla de Vulnerabilidade Permite Compromisso Total
A exploração combina CVE-2025-64446, uma vulnerabilidade de desvio de autenticação, com CVE-2025-58034, uma falha de injeção de comando autenticada, para fornecer uma cadeia de ataque devastadora que concede aos invasores controle total sobre dispositivos FortiWeb vulneráveis.
CVE-2025-64446 explora uma fraqueza de passagem de caminho que permite que invasores não autenticados ignorem mecanismos de autenticação e criem contas administrativas em sistemas de destino.
A vulnerabilidade aproveita uma solicitação HTTP especialmente criada com um cabeçalho CGIINFO malicioso para representar a conta de administrador integrada, concedendo privilégios administrativos totais sem exigir credenciais válidas.
O desvio de autenticação funciona enviando um objeto JSON codificado em Base64 contendo credenciais de administrador por meio do cabeçalho CGIINFO, permitindo efetivamente que invasores se façam passar por qualquer usuário no sistema.
A vulnerabilidade afeta o binário fwbcgi, que não consegue validar adequadamente a autenticação antes de processar comandos administrativos.
Depois que o acesso administrativo for estabelecido por meio do CVE-2025-64446, os invasores poderão aproveitar o CVE-2025-58034 para executar ataques arbitrários. sistema operacional comandos com privilégios de root.
Análise do Rapid7 no AttackerKB detalha como essa vulnerabilidade de injeção de comando autenticado permite o comprometimento completo do sistema.
O módulo Metasploit automatiza toda a cadeia de ataque, primeiro criando uma nova conta de administrador por meio do desvio de autenticação e, em seguida, explorando a injeção de comando para implantar cargas úteis e estabelecer acesso persistente.
Os testes confirmam que a exploração atinge com êxito a execução de comandos no nível raiz em sistemas vulneráveis, conforme demonstrado pelo módulo que retorna “uid=0(root) gid=0(root)” quando executado.
As vulnerabilidades afetam inúmeras versões do FortiWeb em várias filiais.
As versões vulneráveis incluem FortiWeb 8.0 antes de 8.0.2, 7.6 antes de 7.6.5, 7.4 antes de 7.4.10, 7.2 antes de 7.2.12, 7.0 antes de 7.0.12 e versões 6.4.3 e anteriores, bem como 6.3.23 e anteriores.
As evidências sugerem que essas vulnerabilidades foram exploradas antes do lançamento dos patches.
Os pesquisadores de segurança alertaram inicialmente sobre a exploração ativa direcionada aos dispositivos Fortinet, com os invasores usando a cadeia de vulnerabilidades para criar backdoors administrativos persistentes em dispositivos comprometidos.
As organizações podem testar rapidamente se suas instalações do FortiWeb são vulneráveis enviando uma solicitação GET especialmente criada para o endpoint da API.
Os sistemas que retornam respostas HTTP 200 são vulneráveis, enquanto os sistemas corrigidos retornarão erros HTTP 403.
O WatchTower Labs lançou um gerador de artefatos de detecção no GitHub para ajudar os defensores a identificar hosts vulneráveis em suas redes.
O Metasploit O módulo fornece com sucesso várias cargas úteis baseadas em Unix, incluindo shells bash reversos, conexões OpenSSL e shells reversos Python.
No entanto, as cargas úteis de busca do Linux encontram problemas nos sistemas afetados porque as proteções em nível de kernel evitam que binários eliminados sejam marcados como executáveis.
Apesar dessas limitações, a exploração demonstra desempenho confiável na obtenção de acesso root por meio de cargas baseadas em comandos.
A Fortinet lançou patches que abordam vulnerabilidades no FortiWeb versão 8.0.2 e correções correspondentes para ramificações anteriores.
As organizações que executam versões afetadas devem atualizar imediatamente para versões corrigidas e revisar os logs do sistema em busca de indicadores de comprometimento, incluindo criação de contas de administrador suspeitas e solicitações incomuns de API direcionadas ao binário fwbcgi.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial em Google.