CVE-2025-24472
FortiOS и FortiProxy: обход аутентификации через Security Fabric
CVE-2025-24472 затрагивает устройства с включённым Security Fabric и позволяет удалённому неавторизованному атакующему получить super-admin на downstream-устройстве при знании серийных номеров.
Кому нужно проверить
Администраторам FortiOS/FortiProxy с включённым Security Fabric и командам, отвечающим за сетевую инфраструктуру. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При выполнении условий удалённый атакующий без аутентификации может получить super-admin на downstream-устройстве и выполнить несанкционированные изменения конфигурации или команд.
Затронутые версии
FortiOS 7.0.0–7.0.16 и FortiProxy 7.0.0–7.0.19, 7.2.0–7.2.12, если включён Security Fabric и доступны соответствующие CSF proxy requests. Без этой конфигурации условие эксплуатации не подтверждено.
Исправленные версии
FortiOS 7.0.17 или новее; FortiProxy 7.0.20 или новее либо 7.2.13 или новее.
Что сделать
- 1Проверьте версии и состояние Security Fabric на всех FortiOS/FortiProxy, включая downstream-устройства и их серийные номера в служебной топологии.
- 2Если обновление невозможно немедленно, отключите Security Fabric через административную процедуру Fortinet и ограничьте управление доверенными сетями; учитывайте влияние на архитектуру.
- 3Установите исправленные версии на устройствах по согласованному плану, проверьте резервную конфигурацию и восстановление связности после обновления.
- 4Проверьте созданные учётные записи, группы, политики, настройки Fabric и журналы. При признаках эксплуатации изолируйте устройство, сохраните логи и смените секреты после расследования.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.