CVE-2025-25257 - FortiWeb 사전 인증 SQL 인젝션을 통한 RCE

07/09/2025 작성자: TheStingR

면책 조항: 이 PoC(Proof-of-Concept)는 승인된 보안 테스트 및 연구 목적으로만 제공됩니다. 소유하지 않았거나 명시적 테스트 권한이 없는 시스템에 대한 무단 사용은 불법입니다. 사용자는 모든 관련 법률 및 규정을 준수할 책임이 있습니다.

CVE-2025-25257은 웹 애플리케이션 방화벽인 Fortinet FortiWeb의 Fabric Connector 구성 요소에서 발견된 치명적인 취약점입니다. 이 취약점으로 인해 공격자는 인증 없이 임의의 시스템 명령을 실행할 수 있으며, 전체 시스템 장악의 심각한 위험을 초래합니다.

영향을 받는 버전

취약점 개요

이 취약점은 get_fabric_user_by_token() 함수에서 Authorization: Bearer <token> HTTP 헤더를 안전하지 않게 처리하는 데서 발생합니다. 입력 값 검증(샌니타이제이션)이 불충분하여 공격자는 악성 SQL 명령을 주입할 수 있습니다 (SQL 인젝션, CWE-89).

영향:

• 인증 우회: 공격자는 자격 증명 없이 임의의 SQL 쿼리를 실행할 수 있습니다.
• 원격 코드 실행 (RCE): MySQL의 SELECT ... INTO OUTFILE을 사용하여 악성 파일(예: 웹셸 또는 Python 스크립트)을 서버에 기록함으로써 전체 시스템 제어가 가능합니다.

다운로드

📥 최신 릴리스 다운로드 (v1.0.0)

포함된 파일:

• CVE-2025-25257.py - Python 익스플로잇 스크립트
• README.md - 전체 문서
• exploit_workflow.svg - 공격 워크플로 다이어그램

익스플로잇 워크플로

익스플로잇은 아래 Mermaid 다이어그램(GitHub에서 기본 렌더링) 및 정적 이미지 exploit_workflow.svg에 표시된 다음 단계를 따릅니다:

graph TD
    A[Attacker] --> B[Target Endpoint]
    B --> C[SQL Injection]
    C --> D[Webshell Creation]
    D --> E[Command Execution]
    E --> F[System Compromise]

1. SQL 인젝션: 공격자는 취약한 /api/fabric/device/status 엔드포인트에 조작된 HTTP 요청을 전송합니다.
2. 파일 생성: SQL 인젝션을 통해 웹셸(예: webshell.php)을 서버에 기록합니다.
3. 명령 실행: 공격자는 User-Agent 헤더를 통해 웹셸로 명령을 전송하여 임의의 시스템 명령을 실행합니다.

치명적인 이유

• CVSS 점수: 9.6–9.8 (Critical)
• 인증 없는 접근: 악용에 자격 증명이 필요하지 않습니다.
• 전체 시스템 장악: 공격자는 영향을 받는 FortiWeb 장치에 대한 완전한 제어권을 얻을 수 있습니다.
• 실제 악용 진행 중: 공개 PoC 익스플로잇이 존재하며 실제 공격 환경에서 사용되고 있습니다.

대응 방안

참고 자료:

• Fortinet PSIRT 공지 (게시 시 FG-IR-25-XXX 확인)
• 커뮤니티 라이트업: Exploit-DB, HackerOne

PoC 사용법 (승인된 테스트 전용)

이 도구는 승인된 보안 테스트 및 연구 목적으로만 사용해야 합니다. 대상 시스템에 대한 명시적 테스트 권한이 있는지 확인하십시오.

사전 요구 사항

• Python 3.8 이상
• 필수 라이브러리: requests, argparse
• 의존성 설치: pip install requests

사용법

python3 cve_2025_25257.py -t https://target-ip

익스플로잇 후: 성공적인 익스플로잇 후 스크립트는 웹셸 URL(예: https://target-ip/webshell.php)을 출력합니다. curl 또는 브라우저와 같은 도구를 사용하여 User-Agent 헤더를 통해 웹셸로 명령을 전송할 수 있습니다.

예시

python3 cve_2025_25257.py -t https://192.168.1.100 --proxy http://127.0.0.1:8080

출력: 성공하면 스크립트는 다음을 표시합니다:

[+] Webshell deployed at: https://192.168.1.100/webshell.php
[+] Send commands via User-Agent header, e.g., `curl -A "whoami" https://192.168.1.100/webshell.php`

요약

CVE-2025-25257은 FortiWeb에서 인증되지 않은 공격자가 전체 시스템 제어권을 획득할 수 있게 하는 심각하고 쉽게 악용 가능한 취약점입니다. 즉각적인 패치가 필수적이며, 조직은 악용 징후를 모니터링해야 합니다.

시각 자료: 위 Mermaid 다이어그램은 GitHub에서 기본 렌더링됩니다. 저장소에 포함된 정적 exploit_workflow.svg는 오프라인 보기 또는 프레젠테이션을 위해 확장 가능한 벡터 그래픽으로 동일한 워크플로를 고품질 렌더링으로 제공합니다.