Luka w FortiOS 7.0 i FortiProxy pozwala przez żądania Security Fabric przejąć konto super-admin zapory bez hasła. CISA potwierdza użycie w atakach ransomware. Zaktualizuj urządzenia i przejrzyj konta administracyjne.
Ten alert jest dla zarządu, CTO i CFO firm, które mają zapory Fortinet z FortiOS 7.0 lub serwery pośredniczące FortiProxy 7.0 i 7.2, zwłaszcza z włączoną funkcją Security Fabric. Werdykt: jeśli FortiOS jest starszy niż 7.0.17, a FortiProxy starszy niż 7.0.20 lub 7.2.13, zaktualizuj urządzenia w tym tygodniu, bo luka pozwala przejąć konto super-admin bez hasła i jest używana w atakach ransomware.
Amerykańska agencja CISA 18 marca 2025 roku dopisała CVE-2025-24472 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd w FortiOS i FortiProxy pozwala napastnikowi bez logowania uzyskać uprawnienia super-admin na urządzeniu podrzędnym, wysyłając spreparowane żądania proxy protokołu CSF, którym urządzenia Fortinet komunikują się w ramach funkcji Security Fabric.
Są dwa warunki: Security Fabric musi być włączone, a napastnik musi znać numery seryjne urządzenia nadrzędnego i podrzędnego. CISA oznaczyła lukę jako używaną w kampaniach ransomware, a wykorzystanie jako aktywne oceniła już 12 lutego 2025 roku. Termin CISA minął 8 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24472 (biuletyn Fortinet FG-IR-24-535; w europejskiej bazie EUVD-2025-3725) |
Data dodania do CISA KEV | 2025-03-18 |
Termin naprawy wg CISA | 2025-04-08 (21 dni od wpisu) |
Produkt | Fortinet FortiOS (zapory FortiGate) i FortiProxy, obsługa żądań proxy protokołu CSF (Security Fabric) |
Wersje zagrożone | FortiOS 7.0.0 do 7.0.16; FortiProxy 7.0.0 do 7.0.19 oraz 7.2.0 do 7.2.12. Warunki: włączone Security Fabric i znajomość numerów seryjnych urządzeń nadrzędnego i podrzędnego |
Wersje bezpieczne | FortiOS 7.0.17, FortiProxy 7.0.20 i 7.2.13 lub nowsze (wg zakresów NVD); zalecana aktualna wspierana wersja |
Typ podatności | Obejście uwierzytelniania alternatywną ścieżką lub kanałem; CWE-288 |
Ocena CVSS | 8.1 WYSOKA (CVSS 3.1, Fortinet; NVD nie wystawił własnej oceny). Atak przez sieć, wysoka złożoność, bez uprawnień i bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie dwa budynki firmy połączone przeszklonym łącznikiem. Przy wejściu głównym ochroniarz sprawdza przepustki, ale drzwi z łącznika są dla „swoich”: ktoś, kto poda numery inwentarzowe obu budynków, zostaje wpuszczony jako kierownik ochrony. Nikt nie pomyślał, że te numery są wypisane na fakturach, w umowach serwisowych i na zdjęciach z odbioru technicznego.
Tak działa ta luka. Urządzenia Fortinet w funkcji Security Fabric rozmawiają ze sobą protokołem CSF. Odpowiednio spreparowane żądania tego protokołu pozwalały obcemu, który zna numery seryjne urządzeń, uzyskać na zaporze najwyższe konto administracyjne, bez podawania hasła. Kto przejmie zaporę, widzi i kontroluje cały ruch firmy.
💡 FortiOS to system zapór Fortinet FortiGate, a FortiProxy to serwer pośredniczący w ruchu WWW. Security Fabric to funkcja łącząca urządzenia Fortinet we wspólnie zarządzaną sieć. CSF to protokół, którym te urządzenia się komunikują. Super-admin to najwyższe konto administracyjne na urządzeniu. Obejście uwierzytelniania to wejście „bocznymi drzwiami”, przy których nikt nie sprawdza hasła. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Logowanie do panelu zapory | Wymaga hasła administratora | Przez żądania CSF można uzyskać super-admin bez hasła |
Numer seryjny zapory | Metryczka sprzętu | Połowa „klucza” do ataku |
Dokumentacja wdrożenia wysłana mailem | Wygodna wymiana informacji | Może dostarczyć napastnikowi numery seryjne i schemat sieci |
Zapora bez Security Fabric | Działa normalnie | Ta droga ataku nie działa |
Działania napastnika w logach | Wyglądają podejrzanie | Wyglądają jak działania zaufanego konta administracyjnego |
źródło: Pexels, Roy SerafinPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie jest masowym skanowaniem: wymaga włączonego Security Fabric i znajomości numerów seryjnych, dlatego CISA ocenia go jako nieautomatyzowalny, prowadzony wobec wybranych celów.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zbieranie informacji | T-dni do tygodni | Pozyskanie numerów seryjnych urządzeń (dokumentacja, zgłoszenia serwisowe, przejęta skrzynka partnera IT) | Dane potrzebne do ataku |
2. Wykorzystanie | T+0 min | Wysłanie spreparowanych żądań proxy CSF do urządzenia | Uprawnienia super-admin na urządzeniu podrzędnym |
3. Utrwalenie | T+minuty | Dodanie własnych kont administracyjnych i kont VPN | Dostęp niezależny od łatki |
4. Otwarcie sieci | T+godziny | Zmiana reguł zapory, wyłączenie blokad dostępu do serwerów | Swobodny ruch do systemów firmy |
5. Kradzież i szyfrowanie | T+dni do tygodni | Kopiowanie danych, uruchomienie ransomware, żądanie okupu | Przestój i szantaż |
Zapora na styku z internetem to najważniejszy strażnik sieci. Luka jest trudniejsza do wykorzystania niż typowe, ale kończy się pełnym przejęciem zapory, a CISA potwierdza jej użycie w atakach ransomware. Niski wskaźnik EPSS oznacza, że ataki są celowane, a nie że są niegroźne.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery, zmienione reguły zapory, zatrzymana praca biura i magazynu | Dni do tygodni | 80 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych klientów i dokumentów przez przejętą zaporę | Dni | 40 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, utracone zamówienia, koszty specjalistów, nowa konfiguracja zapory | Tygodnie | 150 tys. do 1,2 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, publikacja wykradzionych danych | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z FortiOS 7.0 bez poprawki
i włączonym Security Fabric
Wpływ
5 | . . ■ . . ← WYSOKIE (ransomware: Known)
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (super-admin na zaporze, ransomware), a prawdopodobieństwo średnie, bo atak wymaga włączonego Security Fabric i znajomości numerów seryjnych; zapory bez Security Fabric nie są podatne tą drogą, ale aktualizacja jest nadal zalecana.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wersje FortiOS i FortiProxy na wszystkich urządzeniach oraz to, czy Security Fabric jest włączone | Dziś | Administrator zapory |
2 | 🔴 NATYCHMIAST | Przejrzeć listę kont administracyjnych i VPN na zaporach, usunąć nieznane | Dziś | Administrator zapory |
3 | 🟠 PILNIE | Zaktualizować FortiOS do 7.0.17+, FortiProxy do 7.0.20+ lub 7.2.13+ (docelowo aktualna wspierana wersja) | Do 3 dni | Administrator / partner Fortinet |
4 | 🟠 PILNIE | Przejrzeć logi zmian konfiguracji i logowań administracyjnych od lutego 2025 roku | Do 7 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Jeśli Security Fabric nie jest potrzebne, rozważyć jego wyłączenie do czasu aktualizacji | Do 3 dni | Administrator zapory |
6 | 🟡 WAŻNIE | Ograniczyć dostęp do dokumentacji technicznej (numery seryjne, schematy sieci) i przestać przesyłać ją mailem | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić kartkę właściciela urządzenia brzegowego: wersja, data aktualizacji, kto ma dostęp | Do 30 dni | CTO |
Fortinet wydał poprawione wersje FortiOS i FortiProxy, a katalog CISA odsyła do biuletynu FG-IR-24-535 i nie podaje innych działań zastępczych niż zalecenia producenta. Treści biuletynu nie udało się pobrać do weryfikacji. Poniższe miary to ocena ekspercka ograniczania ryzyka do czasu aktualizacji.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie Security Fabric, jeśli nie jest wykorzystywane | Wysoka wobec tej drogi ataku | Średnia: może wpłynąć na zarządzanie kilkoma urządzeniami |
Ograniczenie dostępu do interfejsów zarządzania i komunikacji między urządzeniami do zaufanych adresów | Średnia do wysokiej | Średnia |
Ochrona dokumentacji z numerami seryjnymi | Niska do średniej: utrudnia przygotowanie ataku | Łatwa |
Alerty o nowych kontach administracyjnych i zmianach reguł | Niska jako ochrona, przydatne do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja FortiOS / FortiProxy | Podatna gałąź 7.0 lub 7.2 | 7.0.17+ / 7.0.20+ / 7.2.13+ lub nowsza |
Konta administracyjne | Niesprawdzone | Przejrzane, nieznane usunięte |
Security Fabric | Włączone „bo było w projekcie” | Świadomie włączone lub wyłączone |
Dokumentacja techniczna | W mailach do wielu firm | W katalogu z ograniczonym dostępem |
Zgodność z terminem CISA | Zaległość od 8 kwietnia 2025 roku | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA z 12 lutego 2025 roku: wykorzystanie aktywne, nieautomatyzowalne, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup w materiałach źródłowych |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 8.1 WYSOKA (CVSS 3.1, Fortinet) |
PoC dostępny publicznie? | Europejska baza EUVD oznacza w wektorze dojrzały kod ataku; szczegółów nie udało się zweryfikować |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 7% (wg analizy źródłowej); niska wartość odzwierciedla celowany charakter ataków |
Sygnały zagrożenia dla CVE-2025-24472
CVSS 3.1 (Fortinet) 8.1/10 ████████████████░░░░ WYSOKA
EPSS (analiza źr.) ~7% █░░░░░░░░░░░░░░░░░░░ ataki celowane
Złożoność ataku WYSOKA ████████░░░░░░░░░░░░ numery seryjne, Security Fabric
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana 2025-02-11 Publikacja CVE-2025-24472 w NVD (biuletyn FG-IR-24-535)
2025-02-12 Ocena CISA: wykorzystanie aktywne
2025-03-18 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-04-08 Termin naprawy wg CISA dla agencji federalnych
2026-08-05 Ostatnia aktualizacja wpisu w NVD
... ponad 17 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Fortinet: FG-IR-24-535 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24472 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa FortiOS 7.0 lub FortiProxy 7.0/7.2 | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersje urządzeń i informację o Security Fabric | CTO | DZISIAJ |
3 | Zlecić przegląd kont administracyjnych na zaporach | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację | CTO | DO JUTRA |
5 | Zlecić przegląd logów zmian konfiguracji od lutego 2025 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, komu przekazywano dokumentację techniczną zapór (partnerzy, dostawcy łącza) | CFO / CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie wersje FortiOS i FortiProxy działają na naszych urządzeniach? | [wersje] | 🔴 |
2 | Czy Security Fabric jest włączone i do czego go używamy? | TAK / NIE, [cel] | 🔴 |
3 | Czy na zaporach są konta administracyjne lub VPN, których nie rozpoznajemy? | TAK / NIE | 🔴 |
4 | Kiedy urządzenia zaktualizowano do wersji z poprawką? | [data] | 🟠 |
5 | Czy logi zmian konfiguracji od lutego 2025 roku zostały przejrzane? | TAK / NIE, [data] | 🟠 |
6 | Gdzie przechowujemy dokumentację z numerami seryjnymi i schematem sieci? | [miejsce] | 🟡 |
7 | Kto jest właścicielem zapór i odpowiada za ich aktualizacje? | [osoba] | 🟡 |
CVE-2025-24472 pozwala napastnikowi znającemu numery seryjne urządzeń Fortinet uzyskać konto super-admin na zaporze FortiOS lub FortiProxy z włączonym Security Fabric, bez hasła. CISA potwierdza użycie luki w kampaniach ransomware, a termin naprawy minął 8 kwietnia 2025 roku. Aktualizacja do FortiOS 7.0.17, FortiProxy 7.0.20 lub 7.2.13 i przegląd kont administracyjnych to zadania na ten tydzień.
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.
