Η CISA έδωσε εντολή στις κυβερνητικές υπηρεσίες των ΗΠΑ να ασφαλίσουν τα συστήματά τους εντός μιας εβδομάδας έναντι μιας άλλης ευπάθειας στο τείχος προστασίας της διαδικτυακής εφαρμογής FortiWeb της Fortinet, η οποία έγινε αντικείμενο εκμετάλλευσης σε επιθέσεις zero-day.
Παρακολούθηση ως CVE-2025-58034αυτό το ελάττωμα εισαγωγής εντολών λειτουργικού συστήματος μπορεί να επιτρέψει στους επαληθευμένους παράγοντες απειλής να αποκτήσουν εκτέλεση κώδικα σε επιθέσεις χαμηλής πολυπλοκότητας που δεν απαιτούν αλληλεπίδραση με τον χρήστη.
“Μια ακατάλληλη εξουδετέρωση των ειδικών στοιχείων που χρησιμοποιούνται σε μια ευπάθεια OS Command (“OS Command Injection”) [CWE-78] στο FortiWeb μπορεί να επιτρέψει σε έναν επαληθευμένο εισβολέα να εκτελέσει μη εξουσιοδοτημένο κώδικα στο υποκείμενο σύστημα μέσω δημιουργημένων αιτημάτων HTTP ή εντολών CLI», δήλωσε η Fortinet την Τρίτη.
Η υπηρεσία κυβερνοασφάλειας προστέθηκε την ευπάθεια σε αυτήν Κατάλογος γνωστών εκμεταλλευόμενων ευπαθειών την ίδια ημέρα, δίνοντας προθεσμία στις υπηρεσίες του Ομοσπονδιακού Πολιτικού Εκτελεστικού Κλάδου (FCEB) έως την Τρίτη, 25 Νοεμβρίου, για να ασφαλίσουν τα συστήματά τους από επιθέσεις, όπως ορίζεται από τη δεσμευτική επιχειρησιακή οδηγία (BOD) 22-01.
«Αυτός ο τύπος ευπάθειας είναι ένας συχνός φορέας επίθεσης για κακόβουλους κυβερνοχώρους και εγκυμονεί σημαντικούς κινδύνους για την ομοσπονδιακή επιχείρηση», προειδοποίησε η CISA.
«Με πρόσφατα και συνεχιζόμενα γεγονότα εκμετάλλευσης [..]συνιστάται ένα μειωμένο χρονικό πλαίσιο αποκατάστασης μιας εβδομάδας», πρόσθεσε, αναφερόμενος σε ένα δεύτερο ελάττωμα του FortiWeb (CVE-2025-64446) που εκμεταλλεύτηκε σε επιθέσεις zero-day που η Fortinet επιδιορθώθηκε σιωπηλά στα τέλη Οκτωβρίου.
Την Παρασκευή και η CISA προστέθηκε την ευπάθεια CVE-2025-64446 στον κατάλογό της με ελαττώματα ασφαλείας που εκμεταλλεύονται ενεργά, διατάσσοντας τις ομοσπονδιακές υπηρεσίες των ΗΠΑ να διορθώσουν τις συσκευές τους έως τις 21 Νοεμβρίου.
Το BleepingComputer επικοινώνησε με έναν εκπρόσωπο της Fortinet με ερωτήσεις σχετικά με αυτά τα ελαττώματα, αλλά δεν έχουμε λάβει ακόμη απάντηση.
Τον Αύγουστο, η Fortinet αντιμετώπισε μια άλλη ευπάθεια έγχυσης εντολών (CVE-2025-25256) στη λύση FortiSIEM, μετά από μια αναφορά GreyNoise που προειδοποιούσε για αύξηση των επιθέσεων ωμής βίας εναντίον των Fortinet SSL VPN.
Τα τρωτά σημεία του Fortinet χρησιμοποιούνται συνήθως σε επιθέσεις κυβερνοκατασκοπείας και ransomware. Για παράδειγμα, τον Φεβρουάριο, το Fortinet αποκαλύφθηκε ότι μια κινεζική ομάδα hacking που παρακολουθήθηκε ως Volt Typhoon εκμεταλλεύτηκε δύο ελαττώματα του FortiOS SSL VPN για να παραβιάσει ένα στρατιωτικό δίκτυο του Υπουργείου Άμυνας της Ολλανδίας χρησιμοποιώντας ένα προσαρμοσμένο trojan απομακρυσμένης πρόσβασης (RAT) που ονομάζεται Coathanger.
Είτε καθαρίζετε παλιά κλειδιά είτε τοποθετείτε προστατευτικά κιγκλιδώματα για κώδικα που δημιουργείται από AI, αυτός ο οδηγός βοηθά την ομάδα σας να χτίζει με ασφάλεια από την αρχή.
Πάρτε το φύλλο εξαπάτησης και αφαιρέστε τις εικασίες από τη διαχείριση μυστικών.
VIA: bleepingcomputer.com
