انتشار ماژول Metasploit برای آسیب‌پذیری FortiWeb و اجرای کد از راه دور (RCE)

چهارچوب Metasploit یک ماژول جدید را برای بهره‌برداری از آسیب‌پذیری‌های بحرانی در فایروال برنامه وب (WAF) شرکت Fortinet FortiWeb منتشر کرده است. این ماژول دو نقص امنیتی اخیراً افشا شده را به صورت زنجیره‌ای ترکیب می‌کند تا امکان اجرای کد از راه دور احراز هویت نشده (Unauthenticated RCE) با امتیازات روت (Root) را فراهم آورد.

---

زنجیره سوءاستفاده و جزئیات فنی

ماژول جدید که با نام exploit/linux/http/fortinet_fortiweb_rce شناخته می‌شود، یک حمله خودکار و پیچیده را اجرا می‌کند که مکانیسم‌های احراز هویت را دور می‌زند:

1. دور زدن احراز هویت (CVE-2025-64446):

   • این حمله ابتدا از CVE-2025-64446، یک نقص بحرانی دور زدن احراز هویت با امتیاز CVSS ۹.۱، استفاده می‌کند.

   • این آسیب‌پذیری یک مشکل Path Traversal است که با دستکاری هدر CGIINFO ترکیب می‌شود.

   • مهاجم احراز هویت نشده با سوءاستفاده از این نقص می‌تواند خود را به عنوان کاربر داخلی مدیر (Built-in Admin) جا زده و یک حساب مدیریتی جدید بدون اعتبارنامه‌های معتبر ایجاد کند.

2. تزریق دستور (CVE-2025-58034):

   • پس از دستیابی به دسترسی مدیریتی، ماژول از CVE-2025-58034، یک نقص تزریق دستور سیستم عامل (OS Command Injection) با احراز هویت، برای دسترسی به سیستم زیرین بهره می‌برد.

   • این نقص در API و CLI فایروال FortiWeb قرار دارد و به یک کاربر احراز هویت شده اجازه می‌دهد تا از محدودیت‌های پوسته (Shell) خارج شده و دستورات را به عنوان کاربر روت (uid=0) اجرا کند.

نتیجه نهایی: با ترکیب این دو آسیب‌پذیری، ماژول Metasploit به یک مهاجم خارجی اجازه می‌دهد تا در عرض چند ثانیه، از عدم دسترسی به کنترل کامل سیستم (RCE with Root Privileges) برسد.

---

نسخه‌های آسیب‌دیده و اقدامات دفاعی

از آنجایی که گزارش‌هایی مبنی بر سوءاستفاده فعال از این نقص در دنیای واقعی منتشر شده، به‌روزرسانی فوری دستگاه‌های FortiWeb ضروری است:

• محصولات آسیب‌دیده (بخشی از لیست):

  • CVE-2025-64446: FortiWeb نسخه‌های ۷.۴.۰ تا ۷.۴.۴، ۷.۶.۰ تا ۷.۶.۴، ۸.۰.۰ تا ۸.۰.۱.

  • CVE-2025-58034: FortiWeb نسخه‌های ۸.۰.۰ تا ۸.۰.۱.

• وصله فوری: کاربران به شدت توصیه می‌شوند که فوراً به نسخه‌های FortiWeb 8.0.2 و بالاتر به‌روزرسانی کنند.

• بررسی پس از وصله: از آنجایی که CVE-2025-64446 امکان ایجاد پنهان حساب‌های مدیر جعلی را می‌دهد، تیم‌های امنیتی باید لیست کاربران خود را برای وجود هرگونه حساب ناشناس بررسی کنند و لاگ‌های خود را از نظر درخواست‌های مشکوک به /api/v2.0/cmdb/system/admin که از آدرس‌های IP نامعتبر سرچشمه می‌گیرند، بازبینی نمایند.