SecBoard
Zurück zur CVE-Übersicht

CVE-2025-64446

CRITICAL(9.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score82/100 — KRITISCH
  • CVSS 9.8 — Kritisch
  • EPSS 92% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

92.0%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2025-64446 betrifft Fortinet FortiWeb und ist eine relative Pfadtraversal-Schwachstelle. Diese ermöglicht es einem Angreifer, administrative Befehle auf dem System über speziell gestaltete HTTP- oder HTTPS-Anfragen auszuführen. Die Schwachstelle betrifft mehrere Versionen von FortiWeb, darunter 8.0.0 bis 8.0.1, 7.6.0 bis 7.6.4, 7.4.0 bis 7.4.9, 7.2.0 bis 7.2.11 und 7.0.0 bis 7.0.11.

Mit einem CVSS-Score von 9.8 (CRITICAL) und einer von 92% ist diese Schwachstelle als extrem kritisch einzustufen. Die Aufnahme in den KEV-Katalog bestätigt, dass CVE-2025-64446 aktiv ausgenutzt wird, was eine sofortige Reaktion erfordert. Die hohe Exploit-Wahrscheinlichkeit unterstreicht das akute Risiko für betroffene Systeme.

Security-Teams sollten umgehend alle betroffenen FortiWeb-Instanzen identifizieren und die vom Hersteller bereitgestellten Patches oder Mitigationen anwenden. Aufgrund der aktiven Ausnutzung und der kritischen Bewertung ist dies eine Top-Priorität, um eine Kompromittierung zu verhindern und die Systemintegrität zu gewährleisten.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A relative path traversal vulnerability in Fortinet FortiWeb 8.0.0 through 8.0.1, FortiWeb 7.6.0 through 7.6.4, FortiWeb 7.4.0 through 7.4.9, FortiWeb 7.2.0 through 7.2.11, FortiWeb 7.0.0 through 7.0.11 may allow an attacker to execute administrative commands on the system via crafted HTTP or HTTPS requests.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). CISA reports this vulnerability has been exploited in the wild.

Behobene Versionen

  • FortiWeb 8.0.2
  • FortiWeb versions below 8.0.2

Threat-Hunting-Queries

Sentinel/Defender KQL

DeviceProcessEvents
| where FileName == "FortiWeb" // Adjust based on actual FortiWeb process name
| where ProcessCommandLine contains "HTTP" or ProcessCommandLine contains "HTTPS" // Look for suspicious command execution via HTTP/S requests
| where ProcessCommandLine contains "admin" and ProcessCommandLine contains "command" // Refine to administrative command execution
| project Timestamp, DeviceName, InitiatingProcessCommandLine, ProcessCommandLine, FileName, FolderPath

Splunk SPL

index=* sourcetype=fortiweb_logs (http OR https) (admin AND command) | table _time, host, source, sourcetype, message

Sigma

title: FortiWeb Relative Path Traversal via HTTP/S
status: experimental
description: Detects potential exploitation of FortiWeb relative path traversal vulnerability via crafted HTTP/S requests leading to administrative command execution.
logsource:
  product: fortiweb
  service: logs
detection:
  selection:
    - http_request_method: '*'
      http_request_path: '*../*'
      http_request_query: '*command=*'
    - https_request_method: '*'
      https_request_path: '*../*'
      https_request_query: '*command=*'
  condition: selection
level: high

Elastic ES|QL

from fortiweb_logs
| where message.http_method != null and message.http_path : "*../*" and message.http_query : "*command=*"
| where message.https_method != null and message.https_path : "*../*" and message.https_query : "*command=*"
| select @timestamp, host.name, message.http_method, message.http_path, message.http_query, message.https_method, message.https_path, message.https_query

SecBoard-generated behavioral requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:fortinet:fortiweb:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fortinet:fortiweb:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fortinet:fortiweb:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fortinet:fortiweb:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fortinet:fortiweb:*:*:*:*:*:*:*:*

Referenzen