Fortinet、FortiWebの重大なSQLインジェクション脆弱性（CVE-2025-25257）に対するパッチをリリース

Fortinetは、FortiWebに影響を及ぼす重大なセキュリティ脆弱性に対する修正をリリースしました。この脆弱性により、認証されていない攻撃者が脆弱なインスタンス上で任意のデータベースコマンドを実行できる可能性があります。

CVE-2025-25257として追跡されているこの脆弱性は、最大10.0のうち9.6のCVSSスコアが付与されています。

「FortiWebにおけるSQLコマンドで使用される特殊要素の不適切な無害化（『SQLインジェクション』）の脆弱性[CWE-89]により、認証されていない攻撃者が細工されたHTTPまたはHTTPSリクエストを介して、不正なSQLコードやコマンドを実行できる可能性があります」とFortinetは今週公開したアドバイザリで述べています。

この脆弱性は以下のバージョンに影響します –

• FortiWeb 7.6.0 から 7.6.3（7.6.4以上にアップグレードしてください）
• FortiWeb 7.4.0 から 7.4.7（7.4.8以上にアップグレードしてください）
• FortiWeb 7.2.0 から 7.2.10（7.2.11以上にアップグレードしてください）
• FortiWeb 7.0.0 から 7.0.10（7.0.11以上にアップグレードしてください）

最近、Cisco Identity ServicesおよびISE Passive Identity Connectorの一連の重大な脆弱性（CVE-2025-20286、CVE-2025-20281およびCVE-2025-20282）を報告したGMOサイバーセキュリティの川根健太郎氏が、この問題の発見者として認められています。

本日公開された分析で、watchTowr Labsは、この問題は「get_fabric_user_by_token」と呼ばれる関数に根本原因があると述べています。この関数は、FortiWebと他のFortinet製品をつなぐブリッジとして機能するFabric Connectorコンポーネントに関連しています。

この関数はさらに、「fabric_access_check」と呼ばれる別の関数から呼び出されており、これは3つの異なるAPIエンドポイント（「/api/fabric/device/status」、「/api/v[0-9]/fabric/widget/[a-z]+」、「/api/v[0-9]/fabric/widget」）から呼び出されています。

問題は、攻撃者が制御する入力（特別に細工されたHTTPリクエストのBearerトークンAuthorizationヘッダー経由で渡される）が、十分なサニタイズなしに直接SQLデータベースクエリに渡され、有害であったり悪意のあるコードが含まれていないことを確認できない点にあります。

攻撃はさらに拡張でき、SELECT … INTO OUTFILE文を埋め込むことで、コマンド実行の結果を基盤となるオペレーティングシステム上のファイルに書き込むことが可能です。これはクエリが「mysql」ユーザーとして実行されることを利用しています。

「新しいバージョンの関数では、以前のフォーマット文字列クエリをプリペアドステートメントに置き換えており、単純なSQLインジェクションを防ぐための妥当な試みです」とセキュリティ研究者のSina Kheirkhah氏は述べています。

必要なパッチを適用するまでの一時的な回避策として、ユーザーにはHTTP/HTTPS管理インターフェースを無効にすることが推奨されています。

過去にもFortinet製品の脆弱性が脅威アクターに悪用されていることから、ユーザーは潜在的なリスクを軽減するため、迅速に最新版へアップデートすることが不可欠です。