CVE-2025-22254

Nome do Software Vulnerável e Versões Afetadas Fortinet FortiOS versões 7.6.0 a 7.6.1 Fortinet FortiOS versões 7.4.0 a 7.4.6 Fortinet FortiOS versões 7.2.0 a 7.2.10 Fortinet FortiOS versões 7.0.0 a 7.0.16 Fortinet FortiOS versões anteriores à 6.4.15 FortiProxy versões 7.6.0 a 7.6.1 FortiProxy versões anteriores à 7.4.7 FortiWeb versões 7.6.0 a 7.6.1 FortiWeb versões anteriores à 7.4.6

Descrição O problema está relacionado ao gerenciamento impróprio de privilégios, permitindo que um atacante autenticado com pelo menos permissões de administrador somente leitura obtenha privilégios de super-administrador. Isso é conseguido enviando requisições manipuladas ao módulo websocket do Node.js.

Recomendações Para as versões 7.6.0 a 7.6.1 do Fortinet FortiOS, atualize para uma versão fora do intervalo afetado. Para as versões 7.4.0 a 7.4.6 do Fortinet FortiOS, atualize para uma versão fora do intervalo afetado. Para as versões 7.2.0 a 7.2.10 do Fortinet FortiOS, atualize para uma versão fora do intervalo afetado. Para as versões 7.0.0 a 7.0.16 do Fortinet FortiOS, atualize para uma versão fora do intervalo afetado ou pelo menos para a 6.4.15. Para as versões 7.6.0 a 7.6.1 do FortiProxy, atualize para uma versão de pelo menos 7.4.7. Para as versões 7.6.0 a 7.6.1 do FortiWeb, atualize para uma versão de pelo menos 7.4.6. Como solução temporária, considere restringir o acesso ao módulo websocket do Node.js até que um patch esteja disponível.