CISA نے Fortinet کی CLI خامی CVE-2025-61624 کو استحصال شدہ قرار دیا، Unit 42 نے اسے PEERSTITCH امپلانٹ سے جوڑا

امریکی سائبر سکیورٹی اینڈ انفراسٹرکچر سکیورٹی ایجنسی (CISA) نے 16 اکتوبر کو کئی Fortinet پروڈکٹس میں موجود path traversal کمزوری CVE-2025-61624 کو فعال استحصال کے شواہد کا حوالہ دیتے ہوئے اپنے معلوم استحصال شدہ کمزوریوں (KEV) کے کیٹلاگ میں شامل کیا۔ اسی اپڈیٹ میں BeyondTrust Remote Support میں تصدیق (authentication) بائی پاس کی خامی CVE-2026-102764 بھی درج کی گئی۔ CISA تمام اداروں کی حوصلہ افزائی کرتا ہے کہ وہ کیٹلاگ میں درج خامیوں کو درست کرنے کو ترجیح دیں۔

Fortinet کی ایڈوائزری FG-IR-26-122، جو پہلی بار 2026-04-14 کو شائع ہوئی، FortiOS، FortiProxy، FortiPAM اور FortiSwitchManager کے مشترکہ کمانڈ لائن انٹرفیس (CLI) میں path traversal کی کمزوری (CWE-22) بیان کرتی ہے۔ Fortinet کے مطابق، ایک حملہ آور جو پہلے ہی مراعات یافتہ (privileged) رسائی رکھتا ہو، موجودہ کمانڈز کو تیار کردہ آرگومنٹس دے کر من مانی فائلیں لکھ یا حذف کر سکتا ہے۔ وینڈر اس مسئلے کو درمیانے (Medium) درجے کا قرار دیتا ہے جس کا CVSSv3 سکور 6.0 ہے، اسے تصدیق شدہ (authenticated) اور escalation of privilege اثر والا درجہ بند کرتا ہے، اور اسے معلوم استحصال شدہ کے طور پر نشان زد کرتا ہے۔ FortiOS میں یہ خامی 7.6.5 اور 7.4.10 یا بعد کے ورژنز میں درست کی گئی ہے، جبکہ 7.2، 7.0 اور 6.4 برانچوں کی ہر ریلیز کے لیے کوئی فکس نہیں ہے اور انہیں کسی درست شدہ ریلیز پر منتقل کرنا لازم ہے۔ Fortinet نے FortiProxy 7.6.5 اور 7.4.12، FortiPAM 1.7.1 اور FortiSwitchManager 7.2.8 اور 7.0.7 کو درست شدہ ورژنز کے طور پر درج کیا ہے، جبکہ FortiProxy اور FortiPAM کی پرانی برانچوں کو بھی منتقلی درکار ہے۔ ایڈوائزری کے مطابق Fortinet کے FMWP ڈیٹابیس کے ذریعے ایک ورچوئل پیچ دستیاب ہے۔

Palo Alto Networks Unit 42 نے اس خامی کو ایک ٹیلی کمیونیکیشن منیجڈ سروس پرووائڈر (MSP) پر ہونے والی دراندازی سے جوڑا ہے، جس کی تاریخ وہ ستمبر 2024 بتاتا ہے اور جسے وہ CL-STA-0954 کے نام سے ٹریک کرتا ہے، جو UNC5820 کے نام سے بھی جانا جاتا ہے۔ Unit 42 کے مطابق، حملہ آوروں نے سب سے پہلے ایک مرکزی FortiManager اپلائنس پر CVE-2024-47575 کا استحصال کیا اور ایک آرکائیو حاصل کیا جس میں 500 سے زائد منیجڈ FortiGate فائر والز کی رننگ کنفیگریشنز، کرپٹوگرافک مواد اور ڈیٹابیس شامل تھے؛ یہ فائر والز پرووائڈر اور اس کے کلائنٹس دونوں کی حفاظت کرتے تھے۔ محققین نے کہا کہ حملہ آوروں نے بعد ازاں ان فائلوں سے اسناد (credentials) نکالیں، SSL VPN سیشن کھولے، اور FortiOS کے auto-script فیچر کے ذریعے CVE-2025-61624 کا غلط استعمال کرتے ہوئے ایڈمنسٹریٹر رسائی سے root تک پہنچے۔ اس رسائی کو PEERSTITCH انسٹال کرنے کے لیے استعمال کیا گیا، جسے Unit 42 ایک نیا میموری میں رہنے والا (memory-resident) ARM64 امپلانٹ قرار دیتا ہے جو ڈسک پر کوئی مستقل بائنری نہیں لکھتا، کوئی listening پورٹ نہیں کھولتا اور کوئی آؤٹ باؤنڈ کنکشن نہیں بناتا، بلکہ اس کے بجائے جائز پراسیسز کی ٹریفک پر سوار ہو جاتا ہے۔

Unit 42 نے فائر والز پر Apache mod_md ماڈیول کے غلط استعمال سے بنایا گیا ایک reverse shell چینل بھی رپورٹ کیا، اور اینٹی فورینزک اقدامات بھی، جیسے لاگنگ ڈیمنز (daemons) کو روکنا، کریش لاگز صاف کرنا اور استعمال کے فوراً بعد جعلی اکاؤنٹس اور auto-script آبجیکٹس حذف کرنا۔ اس نے کہا کہ رسائی حاصل کرنے کے بعد حملہ آوروں نے جو کچھ کیا اس کا کچھ حصہ ایسی دراندازیوں سے مشابہت رکھتا ہے جنہیں مشتبہ ریاستی سرپرستی والے عناصر سے جوڑا گیا ہے، اور درمیانے درجے کے اعتماد کے ساتھ اندازہ لگایا کہ حملہ آوروں نے دوسرے فائر والز سے کنفیگریشنز حاصل کرنے کے لیے FortiManager کا بھیس بدلا۔ Unit 42 نے زور دیا کہ اس کی تحقیقات صرف پرووائڈر کے اپنے ماحول تک محدود تھی: اس نے کلائنٹ نیٹ ورکس کا جائزہ نہیں لیا، اور جو کچھ وہ دستاویز کرتا ہے وہ کلائنٹ فائر وال کنفیگریشنز اور اسناد کا افشا ہے، نہ کہ خود کلائنٹ نیٹ ورکس کی کوئی تصدیق شدہ خلاف ورزی۔

دفاع کرنے والوں کے لیے فوری قدم یہ ہے کہ متاثرہ Fortinet پروڈکٹس کو اپ گریڈ کریں یا ایسی برانچوں کو منتقل کریں جن کے لیے کوئی فکس نہیں ہے۔ Unit 42 سفارش کرتا ہے کہ FortiOS کنفیگریشن ریویژنز میں ایسے auto-script آبجیکٹس کا جائزہ لیا جائے جن کے ناموں میں ڈائریکٹری ٹریورسل سٹرنگز موجود ہوں، کریش لاگز میں لاگنگ، IKE اور syslog ڈیمنز کے segmentation faults کی جانچ کی جائے، لاگنگ اور VPN ڈیمنز میں غیر معمولی قابلِ عمل (executable) میموری ریجنز تلاش کیے جائیں، اور ان کے درمیان کراس پراسیس میموری رائٹس کا آڈٹ کیا جائے۔ محققین نے یہ مشورہ بھی دیا کہ کسی مینجمنٹ پلیٹ فارم کے پاس موجود اسناد اور سرٹیفکیٹس کو اسی وقت کمپرومائزڈ سمجھا جائے جب وہ پلیٹ فارم کمپرومائزڈ ہو، کیونکہ یہ ٹرسٹ میٹریل تبدیل (rotate) کیے جانے تک کارآمد رہتا ہے۔ Unit 42 نے لکھا، “یہ کمپرومائز پلیٹ فارم کو پیچ کرنے پر بھی ختم نہیں ہوتا۔”