「FortiWeb」に認証不要でコマンド実行が可能となるSQLi脆弱性

Fortinetのウェブアプリケーションファイアウォール「FortiWeb」に深刻な脆弱性が明らかとなった。アップデートが呼びかけられている。

同製品のGUIコンポーネントに「SQLインジェクション」の脆弱性「CVE-2025-25257」が確認されたもの。

細工した「HTTPリクエスト」を用いることで、認証を必要とすることなく、SQLクエリやコマンドを実行することが可能となる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同脆弱性は、GMOサイバーセキュリティbyイエラエの川根健太郎氏より報告を受けたという。

同社は「FortiWeb 7.6.4」「同7.4.8」「同7.2.11」「同7.0.11」にて同脆弱性を修正。あわせて「HTTP管理インタフェース」を無効化する緩和策をアナウンスしている。

（Security NEXT - 2025/07/09 ）ツイート