Alerta Crítica: Vulnerabilidad de Inyección SQL en FortiWeb (CVE-2025-25257)

Fortinet ha emitido un parche urgente para una vulnerabilidad crítica de inyección SQL (CVE-2025-25257, CVSS 9.6) que afecta a sus dispositivos FortiWeb, permitiendo a atacantes ejecutar comandos SQL arbitrarios sin autenticación mediante peticiones HTTP/HTTPS maliciosas.

🚨 Detalles Técnicos de la Vulnerabilidad

Vector de Ataque

• Componente afectado: Función get_fabric_user_by_token del Fabric Connector.

• Endpoints vulnerables:

  • /api/fabric/device/status

  • /api/v[0-9]/fabric/widget/[a-z]+

  • /api/v[0-9]/fabric/widget

• Mecanismo:
  Los atacantes pueden inyectar código SQL mediante el header de autorización Bearer Token, que se concatena directamente en consultas SQL sin sanitización.

Explotación Avanzada

• Escritura de archivos: Usando SELECT ... INTO OUTFILE, se pueden escribir resultados en el sistema de archivos con permisos de usuario mysql.

• Ejecución remota de comandos (RCE): Potencial escalada a control total del dispositivo.

📌 Versiones Afectadas y Parches

🛡️ Medidas de Mitigación

Solución Permanente

1. Actualizar inmediatamente a la versión parcheada correspondiente.

2. Verificar la instalación:

   show system firmware

Mitigación Temporal (si no es posible parchar)

• Deshabilitar la interfaz administrativa HTTP/HTTPS:

  config system interface
    edit "port1"
      set allowaccess ping https ssh
    next
  end

• Restringir acceso mediante ACLs a las APIs vulnerables.

🔍 Contexto de la Vulnerabilidad

• Descubierta por: Kentaro Kawane (GMO Cybersecurity), conocido por hallazgos previos en Cisco.

• Análisis técnico: watchTowr Labs confirmó que el parche implementa sentencias preparadas para evitar inyecciones.

• Riesgo histórico: Dispositivos Fortinet son objetivos frecuentes de ataques (ej. CVE-2023-27997 en FortiOS).

«Esta vulnerabilidad es especialmente peligrosa por permitir RCE sin credenciales» — Sina Kheirkhah, investigador de seguridad.

💼 Impacto Empresarial

• Firewalls WAF comprometidos: Podrían usarse como pivote para ataques internos.

• Exposición de datos sensibles: Bases de datos de clientes, reglas de seguridad, etc.

• Regulaciones: Incumplimiento de GDPR, HIPAA si no se parcha.