Šta se desilo?

Istraživanje objavljeno 21. oktobra opisuje aktera k0t i kampanju koja kombinuje eksploataciju ranjivosti, pogađanje lozinki i krađu konfiguracija. Mete uključuju FortiWeb, FortiGate i GlobalProtect portale, ali se tehnike i propusti razlikuju po proizvodu.

Koga pogađa?

Istraživači navode organizacije iz različitih zemalja i sektora. Tačan ukupan broj žrtava nije potvrđen. Više od 70.000 kredencijala obuhvata različite vrste pristupnih podataka, uključujući podatke povezane sa LDAP-om.

Kako se zaštititi?

  • Proverite verziju FortiWeb-a i primenite ispravljeno, podržano izdanje.
  • Uklonite javnu dostupnost administrativnih interfejsa i ograničite pristup upravljanju.
  • Proverite nove administratorske naloge, izmene konfiguracije i neuobičajene VPN prijave.
  • Ako je konfiguracija izneta, promenite sve tajne koje sadrži, uključujući servisne i LDAP naloge.
  • Koristite jake jedinstvene lozinke i MFA gde je podržan.
  • Pregledajte povezane sisteme zbog dodatnih alata za udaljeni pristup i trajnog prisustva.

Tehnički detalji

CVE-2025-64446 je FortiWeb path traversal propust koji omogućava administratorske komande bez autentifikacije; Fortinet navodi CVSS 3.1 ocenu 9,8 i eksploataciju u praksi. Ispravke su 8.0.2, 7.6.5, 7.4.10, 7.2.12 i 7.0.12 u odgovarajućim granama. Ova oznaka ne odnosi se na FortiGate ili GlobalProtect.

Zašto je važno?

Pristup konfiguraciji može izložiti i naloge drugih sistema. Samo ažuriranje uređaja ne opoziva ukradene tajne niti uklanja dodatne pristupe koje je napadač već uspostavio.

Preporuka Sajber Radara

Tretirajte potvrđeno iznošenje konfiguracije kao incident sa kredencijalima. Uz zakrpu sprovedite proveru naloga, povezane infrastrukture i trajnog pristupa, a obim istrage zasnujte na dokazima.