- Aktif istismar
- Yama var
- CWE-22
CVE-2025-61624
FortiOS, FortiProxy, FortiPAM ve FortiSwitchManager'da kimlik doğrulamalı saldırganın dosya yazma ve silme yapabildiği yol geçişi açığı
- Yayımlandı
- Güncellendi
- 17 Eki 2026
- Açık yaşı
- 197 gün
- Kaydı açan
- fortinet
ÖzetTürkçe
FortiOS 7.6.0 ile 7.6.4 arası, FortiOS 7.4.0 ile 7.4.9 arası, FortiOS 7.2 tüm sürümleri, FortiOS 7.0 tüm sürümleri, FortiOS 6.4 tüm sürümleri, FortiPAM 1.7.0, FortiPAM 1.6 tüm sürümleri, FortiPAM 1.5 tüm sürümleri, FortiPAM 1.4 tüm sürümleri, FortiPAM 1.3 tüm sürümleri, FortiPAM 1.2 tüm sürümleri, FortiPAM 1.1 tüm sürümleri, FortiPAM 1.0 tüm sürümleri, FortiProxy 7.6.0 ile 7.6.4 arası, FortiProxy 7.4.0 ile 7.4.11 arası, FortiProxy 7.2 tüm sürümleri, FortiProxy 7.0 tüm sürümleri, FortiSwitchManager 7.2.0 ile 7.2.7 arası ve FortiSwitchManager 7.0.0 ile 7.0.6 arası sürümlerde, dizin sınırlandırması dışına çıkılmasına izin veren yol geçişi (Path Traversal) açığı [CWE-22] bulunmaktadır. Bu açık, admin profiline ve en az okuma-yazma yetkisine sahip kimlik doğrulaması yapılmış bir saldırganın belirli CLI komutları aracılığıyla keyfi dosyaları yazmasına veya silmesine olanak tanıyabilir.
Kaynaktaki açıklama (İngilizce)
An Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') [CWE-22] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.4, FortiOS 7.4.0 through 7.4.9, FortiOS 7.2 all versions, FortiOS 7.0 all versions, FortiOS 6.4 all versions, FortiPAM 1.7.0, FortiPAM 1.6 all versions, FortiPAM 1.5 all versions, FortiPAM 1.4 all versions, FortiPAM 1.3 all versions, FortiPAM 1.2 all versions, FortiPAM 1.1 all versions, FortiPAM 1.0 all versions, FortiProxy 7.6.0 through 7.6.4, FortiProxy 7.4.0 through 7.4.11, FortiProxy 7.2 all versions, FortiProxy 7.0 all versions, FortiSwitchManager 7.2.0 through 7.2.7, FortiSwitchManager 7.0.0 through 7.0.6 may allow an authenticated attacker with admin profile and at least read-write permissions to write or delete arbitrary files via specific CLI commands.
Üreticinin çözüm notu (İngilizce)
Upgrade to upcoming FortiOS version 8.0.0 or above
Upgrade to FortiOS version 7.6.5 or above
Upgrade to FortiOS version 7.4.10 or above
Upgrade to FortiProxy version 7.6.5 or above
Upgrade to FortiProxy version 7.4.12 or above
Upgrade to FortiPAM version 1.8.0 or above
Upgrade to FortiPAM version 1.7.1 or above
Fortinet remediated this issue in FortiSASE version 25.4.b and hence customers do not need to perform any action.
Upgrade to upcoming FortiSwitch version 8.0.0 or above
Upgrade to FortiSwitch version 7.6.5 or above
Upgrade to FortiSwitch version 7.4.9 or above
Upgrade to FortiSwitchManager version 7.2.8 or above
Upgrade to FortiSwitchManager version 7.0.7 or above
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler4 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Fortinet FortiOS | ≥ 7.6.0, ≤ 7.6.4 | – |
| ≥ 7.4.0, ≤ 7.4.9 | – | |
| ≥ 7.2.0, ≤ 7.2.13 | – | |
| ≥ 7.0.0, ≤ 7.0.19 | – | |
| ≥ 6.4.0, ≤ 6.4.16 | – | |
| Fortinet FortiPAM | 1.7.0 | – |
| ≥ 1.6.0, ≤ 1.6.2 | – | |
| ≥ 1.5.0, ≤ 1.5.1 | – | |
| ≥ 1.4.0, ≤ 1.4.3 | – | |
| ≥ 1.3.0, ≤ 1.3.1 | – | |
| 1.2.0 | – | |
| ≥ 1.1.0, ≤ 1.1.2 | – |
ve 7 satır daha
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.