CVE-2025-54821 в Fortinet FortiOS, FortiProxy и FortiPAM: обход доверенных хостов через CLI
В линейке продуктов Fortinet выявлена уязвимость класса «неправильное управление привилегиями» (CWE-269), получившая идентификатор CVE-2025-54821. Проблема затрагивает механизм доверенных хостов (trusted host policy), который ограничивает доступ к административному интерфейсу устройства по списку разрешённых IP-адресов или подсетей.
Подробности
Уязвимость присутствует в следующих продуктах и версиях:
- FortiOS 7.6.0–7.6.3, 7.4.0–7.4.11, а также все версии веток 7.2, 7.0 и 6.4;
- FortiProxy 7.6.0–7.6.3, 7.4.0–7.4.13, а также все версии веток 7.2 и 7.0;
- FortiPAM 1.6.0, а также все версии веток 1.5, 1.4, 1.3, 1.2, 1.1 и 1.0.
Согласно описанию, аутентифицированный администратор может обойти политику доверенных хостов, отправив специально сформированную CLI-команду. Таким образом, даже при настроенном ограничении доступа по адресам злоумышленник, уже имеющий учётную запись администратора, способен расширить свою точку входа за пределы разрешённого периметра.
Уязвимости присвоен базовый балл CVSS 1.7, что соответствует низкому уровню критичности. Столь низкая оценка объясняется требованиями к эксплуатации: атакующему необходимы действующие административные учётные данные, а само воздействие ограничено нарушением политики trusted host. Тем не менее в контексте многоуровневой защиты подобный обход снижает эффективность одного из рубежей контроля доступа к управляющим интерфейсам.
Что делать
Рекомендуется установить обновления FortiOS, FortiProxy и FortiPAM, выпущенные производителем для исправления CVE-2025-54821, и перевести устройства на поддерживаемые версии. Для веток, где исправления недоступны (в частности, устаревшие линейки FortiOS 6.4 и 7.0), следует рассмотреть план миграции на актуальные релизы.
До применения патчей можно снизить риск следующими мерами:
- ограничить круг лиц, обладающих административными учётными записями, и применять принцип минимальных привилегий;
- включить многофакторную аутентификацию для административного доступа;
- разместить управляющие интерфейсы в выделенном сегменте сети с дополнительным контролем доступа;
- вести мониторинг и аудит CLI-активности администраторов на предмет подозрительных команд, изменяющих настройки доверенных хостов.
Хотя CVE-2025-54821 имеет низкий балл CVSS, она напоминает о важности эшелонированной защиты административной плоскости: компрометация учётной записи администратора не должна автоматически открывать дополнительные пути доступа к устройству. Своевременное обновление прошивок и строгий контроль привилегий остаются базовыми мерами противодействия подобным рискам.
Источник: CVE Project (cvelistV5)