CVE-2025-24472
Eine Schwachstelle zur Authentifizierungsumgehung über einen alternativen Pfad oder Kanal [CWE-288] in FortiOS 7.0.0 bis 7.0.16 und FortiProxy 7.2.0 bis 7.2.12, 7.0.0 bis 7.0.19 kann einem entfernten, nicht authentifizierten Angreifer mit vorheriger Kenntnis der Seriennummern der Upstream- und Downstream-Geräte ermöglichen, über manipulierte CSF-Proxy-Anfragen Super-Admin-Rechte auf dem Downstream-Gerät zu erlangen, wenn Security Fabric aktiviert ist.
Aktiv ausgenutzt
- Seit dem 18. März 2025 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 8. Apr. 2025 beheben (BOD 22-01)
- Angegriffen 1 Tag bevor die Schwachstelle öffentlich wurde
- In Ransomware-Kampagnen eingesetzt
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Quelle: CISA KEV · 29. Sept. 2026 8. Sept. 2026 11. Aug. 2026 10. Aug. 2026 10. Aug. 2026 12. Mai 2026
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| fortinet | fortiproxy | < 7.0.20 |
| fortinet | fortios | < 7.0.17 |
Verwandte Artikel
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.