FortiWeb SQL注入漏洞分析
漏洞概述
MS-ISAC 公告编号：2025-063
发布日期：2025年7月8日
在Fortinet开发的Web应用防火墙（WAF）FortiWeb中发现了一个SQL注入漏洞。该产品旨在保护Web应用和API免受多种攻击，包括已知漏洞和零日攻击。成功利用此漏洞可能导致SQL注入攻击，进而在系统上下文中执行任意代码。
威胁情报
目前未发现该漏洞在野利用的报告。
受影响系统
- FortiWeb 7.6 版本 7.6.0 至 7.6.3
- FortiWeb 7.4 版本 7.4.0 至 7.4.7
- FortiWeb 7.2 版本 7.2.0 至 7.2.10
- FortiWeb 7.0 版本 7.0.0 至 7.0.10
风险等级
- 政府机构：大型和中型政府实体（高风险），小型政府实体（中风险）
- 企业：大型和中型企业实体（高风险），小型企业实体（中风险）
- 家庭用户：低风险
技术细节
漏洞类型：SQL注入（CVE-2025-25257）
战术：初始访问（TA0001）
技术：利用面向公众的应用（T1190）
FortiWeb中对SQL命令中特殊元素的不当中和，可能允许未经身份验证的攻击者通过精心构造的HTTP或HTTPS请求执行未经授权的SQL代码或命令。成功利用此漏洞可能导致SQL注入攻击，进而在系统上下文中执行任意代码。
修复建议
-
立即应用更新
在适当测试后，立即为受影响的系统应用Fortinet提供的更新（M1051：更新软件）。 -
漏洞管理流程
- 保障措施7.1：建立并维护企业资产的漏洞管理流程，每年审查更新文档。
- 保障措施7.2：建立基于风险的修复策略，每月或更频繁审查。
- 保障措施7.4：每月或更频繁通过自动化补丁管理执行应用更新。
- 保障措施7.5：每季度或更频繁使用SCAP兼容工具执行内部资产漏洞扫描。
- 保障措施7.7：每月或更频繁基于修复流程修复检测到的漏洞。
-
网络基础设施更新
- 保障措施12.1：确保网络基础设施保持最新，每月审查软件版本。
- 保障措施12.2：建立安全的网络架构，至少包括分段、最小权限和可用性。
-
渗透测试
- 保障措施18.1：建立适合企业规模的渗透测试程序。
- 保障措施18.2：每年至少执行一次外部渗透测试。
- 保障措施18.3：基于企业政策修复渗透测试发现的问题。
- 保障措施16.13：执行应用渗透测试，关键应用需进行身份验证测试。
-
权限管理
- 对所有系统和服务应用最小权限原则，以非特权用户运行软件（M1026：特权账户管理）。
- 保障措施4.7：管理企业资产和软件的默认账户。
- 保障措施5.5：建立和维护服务账户清单，至少每季度审查。
-
漏洞扫描与防护
- 使用漏洞扫描发现潜在可利用的软件漏洞（M1016：漏洞扫描）。
- 使用能力检测和阻止可能导致软件利用的条件（M1050：利用保护）。
- 保障措施10.5：在企业资产和软件上启用防利用功能，如DEP、WDEG或SIP。
-
网络分段
- 通过网络架构隔离关键系统，使用DMZ和VPC实例（M1030：网络分段）。
参考链接
订阅公告：及时获取此类网络威胁的更新信息。