Η CISA καταχωρεί ως εκμεταλλευόμενη την ευπάθεια CLI CVE-2025-61624 της Fortinet, αφού η Unit 42 τη συνέδεσε με το εμφύτευμα PEERSTITCH

Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) πρόσθεσε στις 16 Οκτωβρίου την CVE-2025-61624, μια ευπάθεια path traversal (διάσχισης διαδρομών) σε αρκετά προϊόντα της Fortinet, στον κατάλογο Γνωστών Εκμεταλλευόμενων Ευπαθειών (KEV), επικαλούμενη στοιχεία ενεργής εκμετάλλευσης. Η ίδια ενημέρωση περιέλαβε επίσης την CVE-2026-102764, μια παράκαμψη ελέγχου ταυτότητας στο BeyondTrust Remote Support. Η CISA ενθαρρύνει όλους τους οργανισμούς να δώσουν προτεραιότητα στη διόρθωση των ευπαθειών που περιλαμβάνονται στον κατάλογο.

Η συμβουλευτική ανακοίνωση FG-IR-26-122 της Fortinet, που δημοσιεύθηκε αρχικά στις 2026-04-14, περιγράφει μια αδυναμία path traversal (CWE-22) στη διεπαφή γραμμής εντολών (CLI) που μοιράζονται τα FortiOS, FortiProxy, FortiPAM και FortiSwitchManager. Σύμφωνα με τη Fortinet, ένας επιτιθέμενος που διαθέτει ήδη προνομιακή πρόσβαση θα μπορούσε να περάσει ειδικά διαμορφωμένα ορίσματα σε υπάρχουσες εντολές ώστε να γράψει ή να διαγράψει αυθαίρετα αρχεία. Ο κατασκευαστής αξιολογεί το ζήτημα ως Μέσης σοβαρότητας με βαθμολογία CVSSv3 6.0, το ταξινομεί ως απαιτούν έλεγχο ταυτότητας (authenticated) με επίπτωση κλιμάκωσης προνομίων και το επισημαίνει ως γνωστά εκμεταλλευόμενο. Το FortiOS διορθώνεται στις εκδόσεις 7.6.5 και 7.4.10 ή νεότερες, ενώ καμία έκδοση των κλάδων 7.2, 7.0 και 6.4 δεν έχει διόρθωση και πρέπει να μεταφερθεί σε διορθωμένη έκδοση. Η Fortinet αναφέρει ως διορθωμένες εκδόσεις τις FortiProxy 7.6.5 και 7.4.12, FortiPAM 1.7.1 και FortiSwitchManager 7.2.8 και 7.0.7, ενώ οι παλαιότεροι κλάδοι FortiProxy και FortiPAM απαιτούν επίσης μετάβαση. Ένα εικονικό patch (virtual patch) είναι διαθέσιμο μέσω της βάσης δεδομένων FMWP της Fortinet, αναφέρει η ανακοίνωση.

Η Unit 42 της Palo Alto Networks συνέδεσε την ευπάθεια με εισβολή σε έναν πάροχο διαχειριζόμενων υπηρεσιών (MSP) τηλεπικοινωνιών, την οποία χρονολογεί στον Σεπτέμβριο του 2024 και παρακολουθεί ως CL-STA-0954, γνωστή και ως UNC5820. Σύμφωνα με την Unit 42, οι επιτιθέμενοι εκμεταλλεύτηκαν πρώτα την CVE-2024-47575 σε μια κεντρική συσκευή FortiManager και απέσπασαν ένα αρχείο (archive) με ενεργές διαμορφώσεις, κρυπτογραφικό υλικό και βάσεις δεδομένων που κάλυπταν περισσότερα από 500 διαχειριζόμενα firewall FortiGate, τα οποία προστάτευαν τόσο τον πάροχο όσο και τους πελάτες του. Οι ερευνητές δήλωσαν ότι οι επιτιθέμενοι ανέκτησαν αργότερα διαπιστευτήρια από αυτά τα αρχεία, άνοιξαν συνεδρίες SSL VPN και καταχράστηκαν την CVE-2025-61624 μέσω της λειτουργίας auto-script του FortiOS για να περάσουν από πρόσβαση διαχειριστή σε root. Αυτή η πρόσβαση χρησιμοποιήθηκε για την εγκατάσταση του PEERSTITCH, το οποίο η Unit 42 περιγράφει ως ένα νέο εμφύτευμα ARM64 που παραμένει στη μνήμη, δεν γράφει κανένα μόνιμο δυαδικό αρχείο στον δίσκο, δεν ανοίγει καμία θύρα ακρόασης και δεν πραγματοποιεί καμία εξερχόμενη σύνδεση, αλλά αντίθετα επιβαίνει στην κίνηση νόμιμων διεργασιών.

Η Unit 42 ανέφερε επίσης ένα κανάλι reverse shell που δημιουργήθηκε με κατάχρηση της μονάδας Apache mod_md στα firewall, καθώς και αντι-εγκληματολογικές ενέργειες όπως η διακοπή των daemon καταγραφής, ο καθαρισμός των αρχείων καταγραφής σφαλμάτων (crash logs) και η διαγραφή παράνομων λογαριασμών και αντικειμένων auto-script λίγο μετά τη χρήση τους. Ανέφερε ότι ορισμένες από τις ενέργειες των επιτιθέμενων μετά την απόκτηση πρόσβασης μοιάζουν με εισβολές που έχουν συνδεθεί με ύποπτους κρατικούς φορείς, και εκτίμησε με μέτρια βεβαιότητα ότι οι επιτιθέμενοι υποδύθηκαν το FortiManager για να αντλήσουν διαμορφώσεις από άλλα firewall. Η Unit 42 τόνισε ότι η έρευνά της κάλυψε μόνο το περιβάλλον του ίδιου του παρόχου: δεν εξέτασε τα δίκτυα των πελατών, και αυτό που τεκμηριώνει είναι η έκθεση των διαμορφώσεων και των διαπιστευτηρίων των firewall των πελατών, όχι μια επιβεβαιωμένη παραβίαση των ίδιων των δικτύων των πελατών.

Για τους αμυνόμενους, το άμεσο βήμα είναι η αναβάθμιση των επηρεαζόμενων προϊόντων Fortinet ή η μετάβαση από κλάδους που δεν έχουν διόρθωση. Η Unit 42 συνιστά τον έλεγχο των αναθεωρήσεων διαμόρφωσης του FortiOS για αντικείμενα auto-script των οποίων τα ονόματα περιέχουν συμβολοσειρές διάσχισης καταλόγων, τον έλεγχο των crash logs για σφάλματα κατάτμησης (segmentation faults) στους daemon καταγραφής, IKE και syslog, την αναζήτηση ασυνήθιστων εκτελέσιμων περιοχών μνήμης στους daemon καταγραφής και VPN, και τον έλεγχο εγγραφών μνήμης μεταξύ διεργασιών ανάμεσά τους. Οι ερευνητές συνέστησαν επίσης τα διαπιστευτήρια και τα πιστοποιητικά που κατέχει μια πλατφόρμα διαχείρισης να αντιμετωπίζονται ως παραβιασμένα μόλις παραβιαστεί η πλατφόρμα, καθώς αυτό το υλικό εμπιστοσύνης παραμένει έγκυρο μέχρι να ανανεωθεί. «Αυτή η παραβίαση δεν τελειώνει ούτε όταν η πλατφόρμα διορθωθεί με patch», έγραψε η Unit 42.