یک گزارش تازه نشان می‌دهد مهاجمان از یک آسیب‌پذیری فورتی‌گیت برای کاشت بدافزاری بسیار پنهان استفاده کرده‌اند. فورتی‌نت این ضعف را با شناسه CVE-2025-61624 برای سیستم‌عامل FortiOS ثبت کرده است. سازمان CISA هم در ۱۶ اکتبر ۲۰۲۶ آن را به فهرست آسیب‌پذیری‌های در حال سوءاستفاده اضافه کرد.
در این مطلب توضیح می‌دهیم ماجرا چیست، کدام نسخه‌ها درگیرند و شرکت‌های ایرانی که فایروال فورتی‌گیت دارند، همین هفته چه کاری باید انجام دهند. منبع اصلی ما گزارش Unit 42 و مشاوره رسمی فورتی‌نت است.
آسیب‌پذیری فورتی‌گیت CVE-2025-61624 چیست؟
طبق مشاوره رسمی فورتی‌نت، این ضعف از نوع پیمایش مسیر یا Path Traversal است. مشکل در مفسر خط فرمان FortiOS قرار دارد. علاوه بر FortiOS، محصولات FortiPAM، FortiProxy و FortiSwitchManager هم درگیر هستند.
فورتی‌نت شدت آن را «متوسط» و امتیاز CVSS را ۶ اعلام کرده است. دلیلش هم روشن است. مهاجم برای سوءاستفاده باید از قبل دسترسی مدیر داشته باشد. با این حال، همین ضعف به او اجازه می‌دهد فایل دلخواه بنویسد یا پاک کند.
فورتی‌نت وصله این مشکل را در آوریل ۲۰۲۶ منتشر کرد. بنابراین خبر تازه، خودِ ضعف نیست. خبر تازه این است که حالا پژوهشگران شواهد سوءاستفاده واقعی از آن را منتشر کرده‌اند.
ماجرا از کجا شروع شد؟ از FortiManager تا ۵۰۰ فایروال
پژوهشگران Unit 42 در پالو آلتو نتورکس یک نفوذ چندمرحله‌ای را بررسی کرده‌اند. قربانی یک ارائه‌دهنده خدمات مدیریت‌شده در حوزه مخابرات بود. به گفته Unit 42، این نفوذ در سپتامبر ۲۰۲۴ رخ داده است.
ابتدا مهاجمان از ضعف شناخته‌شده CVE-2024-47575 در کنسول مرکزی FortiManager استفاده کردند. سپس از همین یک دستگاه، پیکربندی بیش از ۵۰۰ فایروال فورتی‌گیت را بیرون بردند. این فایروال‌ها هم از شبکه خود شرکت محافظت می‌کردند و هم از شبکه مشتریانش.
این پیکربندی‌ها رمزهای عبور را به شکل رمزنگاری برگشت‌پذیر نگه می‌داشتند. Unit 42 تأیید کرده که این رمزها با حمله جست‌وجوی فراگیر قابل بازیابی بودند. در نتیجه، مهاجمان با حساب‌های واقعی از طریق SSL VPN وارد شبکه شدند.
در مرحله بعد، نوبت آسیب‌پذیری فورتی‌گیت رسید. مدیر FortiOS حتی در سطح super_admin به پوسته سیستم دسترسی ندارد. اما مهاجمان با ساخت یک اسکریپت خودکار به نام ../../../../setup از این محدودیت عبور کردند و به سطح root رسیدند.
PEERSTITCH چگونه پنهان می‌ماند؟
PEERSTITCH یک بدافزار ARM64 است که فقط در حافظه اجرا می‌شود. طبق گزارش هکر نیوز، این بدافزار هیچ فایل ماندگاری روی دیسک نمی‌گذارد. همچنین هیچ پورتی باز نمی‌کند و ارتباط خروجی مستقلی هم برقرار نمی‌کند.
در عوض، کد خود را به دو سرویس اصلی FortiOS تزریق می‌کند. یکی miglogd است که لاگ‌ها را مدیریت می‌کند. دیگری iked است که نشست‌های VPN را کنترل می‌کند. به این ترتیب، بدافزار در ترافیک عادی خود فایروال پنهان می‌شود.
نتیجه نگران‌کننده است. اگر یک نشست VPN برچسب خاص مهاجم را داشته باشد، بدافزار بررسی‌های امنیتی پیش‌فرض FortiOS را دور می‌زند. علاوه بر این، مهاجمان یک کانال فرمان جداگانه هم با سوءاستفاده از ماژول mod_md آپاچی ساختند.
آن‌ها ردپای خود را هم پاک کردند. برای مثال، سرویس‌های لاگ را متوقف کردند، لاگ خرابی را پاک کردند و حساب‌های مدیر جعلی را بعد از کار حذف کردند.
کدام نسخه‌ها در برابر این آسیب‌پذیری فورتی‌گیت ناامن‌اند؟
جدول مشاوره فورتی‌نت برای FortiOS این‌گونه است:
- نسخه‌های 7.6.0 تا 7.6.4: ارتقا به 7.6.5 یا بالاتر.
- نسخه‌های 7.4.0 تا 7.4.9: ارتقا به 7.4.10 یا بالاتر.
- همه نسخه‌های 7.2، 7.0 و 6.4: مهاجرت به یک نسخه اصلاح‌شده.
همچنین در FortiSwitchManager، نسخه 7.2.8 و 7.0.7 مشکل را رفع کرده‌اند. در FortiPAM هم نسخه 1.7.1 اصلاح شده و شاخه 1.8 درگیر نیست. برای FortiProxy حتماً جدول کامل مشاوره را ببینید.
نکته مهم این است که شاخه‌های قدیمی 7.2 و پایین‌تر وصله مستقیم ندارند. پس اگر هنوز روی این نسخه‌ها هستید، باید برنامه ارتقای جدی بچینید.
چک‌لیست فوری برای شرکت‌های ایرانی
آیا در شرکت شما فایروال فورتی‌گیت نقطه اصلی ورود به شبکه است؟ یا شاید مدیریت آن را به یک پیمانکار سپرده‌اید؟ در هر دو حالت، این چک‌لیست را همین هفته اجرا کنید:
- نسخه FortiOS همه فایروال‌ها را فهرست کنید و نسخه‌های آسیب‌پذیر را مشخص کنید.
- فقط از منابع رسمی و معتبر میان‌افزار بگیرید و از فایل‌های ناشناس پرهیز کنید.
- پیکربندی را برای اشیای auto-script که رشته ../../ دارند بررسی کنید.
- در لاگ خرابی دنبال خطای Signal 11 در miglogd، iked یا syslogd باشید.
- رمزهای مدیر و حساب‌های SSL VPN را عوض کنید و احراز هویت چندمرحله‌ای را فعال کنید.
- دسترسی به رابط مدیریت و FortiManager را فقط به شبکه‌های داخلی مورد اعتماد محدود کنید.
اگر پیمانکار شما چند فایروال را از یک کنسول مرکزی مدیریت می‌کند، از او بپرسید آخرین بار کی FortiManager را به‌روز کرده است. در واقع، همان‌طور که در مطلب آسیب‌پذیری میکروتیک RouterOS هم گفتیم، تجهیزات لبه شبکه همیشه در صف اول حمله‌اند.
درس اصلی: کنسول مدیریت، باارزش‌ترین هدف
Unit 42 در جمع‌بندی خود نکته مهمی می‌گوید. نفوذ به یک پلتفرم مدیریت، فقط به همان شرکت محدود نمی‌ماند. در این پرونده، یک دستگاه کلید، رمز و نقشه شبکه بیش از ۵۰۰ فایروال را لو داد.
از طرفی، وصله کردن پلتفرم هم ماجرا را تمام نمی‌کند. گواهی‌ها و کلیدهایی که مهاجم دزدیده، تا زمانی که عوض نشوند معتبر می‌مانند. بنابراین بعد از هر نفوذ مشکوک، چرخش کلیدها و رمزها ضروری است.
در نهایت، پیام این آسیب‌پذیری فورتی‌گیت برای مدیران شبکه روشن است. وصله را جدی بگیرید، دسترسی مدیریتی را محدود کنید و لاگ‌ها را بیرون از خود دستگاه نگه دارید. این سه کار ساده، بخش بزرگی از ریسک را کم می‌کند.
بدون دیدگاه