FortiWeb WAF’dagi xavfli zaiflik: hujumchilar qurilmani to‘liq egallashi mumkin

Kiberxavfsizlik olamida yana bir jiddiy tahdid yuzaga keldi. Fortinet kompaniyasi o‘zining mashhur FortiWeb Web Application Firewall (WAF) mahsulotida aniqlangan o‘ta xavfli (Critical) darajadagi zaiflik va hozirda faol ekspluatatsiya qilinayotganligi haqida shoshilinch ogohlantirish berdi.

CVE-2025-64446 sifatida ro‘yxatga olingan ushbu nuqson, FortiWeb’ning GUI boshqaruv interfeysida noto‘g‘ri ruxsat nazoratidan kelib chiqadi. Bu esa tajovuzkorlarga hech qanday autentifikatsiyasiz administrator darajasida buyruqlarni bajarish imkonini beradi. Boshqacha aytganda, hujumchi qurilmaga to‘liq egalik qilishi, sozlamalarni o‘zgartirishi yoki maxfiy ma’lumotlarni qo‘lga kiritishi mumkin.

Zaiflik qanday ishlaydi?

Zaiflikning ildizi — relative path traversal deb ataladigan, fayl yo‘llarini noto‘g‘ri qayta ishlash bilan bog‘liq xato (CWE-23). Tajovuzkorlar maxsus tuzilgan HTTP yoki HTTPS so‘rovlar orqali autentifikatsiya mexanizmini chetlab o‘tishi mumkin. Natijada:

  • tizimga yangi administratorlar qo‘shilishi,
  • mavjud konfiguratsiyalar o‘zgartirilishi,
  • qurilma ustidan to‘liq nazorat qo‘lga olinishi

kabi og‘ir oqibatlar yuzaga keladi.

Fortinet PSIRT (Product Security Incident Response Team) ushbu zaiflik allaqachon yovvoyi muhitda ekspluatatsiya qilinayotganini tasdiqladi. Bu esa uni zudlik bilan bartaraf etish zarur ekanini ko‘rsatadi.

Zaiflik qanday baholangan?

CVE-2025-64446 quyidagi reytingga ega:

  • CVSS v3.1 balli: 9.1 — “Kritik”
  • Huquq talab etilmaydi
  • Foydalanuvchi aralashuvi kerak emas
  • Hujum tarmoq orqali amalga oshadi

Bu zaiflik FortiWeb qurilmalari uchun eng xavfli kategoriyaga kiradi, chunki hujumchi tizimga kirish uchun hech qanday parol, ruxsat yoki qo‘shimcha vositalarga muhtoj emas.

Qaysi versiyalar ta’sirlangan?

Zaiflik FortiWeb’ning bir nechta asosiy versiyalarida mavjud:

  • FortiWeb 8.0.0–8.0.1
  • FortiWeb 7.6.0–7.6.4
  • FortiWeb 7.4.0–7.4.9
  • FortiWeb 7.2.0–7.2.11
  • FortiWeb 7.0.0–7.0.11

Ushbu qurilmalar imkon qadar tezroq quyidagi yamalangan versiyalarga yangilanishi shart:

  • 8.0.2+
  • 7.6.5+
  • 7.4.10+
  • 7.2.12+
  • 7.0.12+

Vaqtinchalik himoya (Workaround)

Agar yangilash hozircha imkonsiz bo‘lsa, Fortinet quyidagi vaqtinchalik chorani tavsiya etadi:

➡ Internetga qaragan interfeyslarda HTTP/HTTPS boshqaruv kirishlarini o‘chirib qo‘yish

Bu WAF’ni to‘g‘ridan-to‘g‘ri internetdan boshqarishga qo‘yib beradigan xavfni bartaraf etadi. Biroq, bu to‘liq yechim emas – zaiflik baribir qoladi, shuning uchun yangilanishlarni kechiktirmaslik lozim.

Yangilashdan so‘ng nima qilish kerak?

Zaiflik ekspluatatsiya qilingan bo‘lishi ehtimoli sababli, tizimlar yangilangandan so‘ng quyidagi tekshiruvlar o‘tkazilishi shart:

  • Admin akkauntlar ro‘yxatini audit qilish
  • Noma’lum o‘zgarishlar bor-yo‘qligini tekshirish
  • Tizim loglarida shubhali faollikni aniqlash
  • IP manzillar, kirish vaqtlari va autentifikatsiya urinishlarini tahlil qilish

Hujumchilar tomonidan yaratilgan yashirin administratorlar mavjud bo‘lishi mumkin — bu holatlarni darhol aniqlash talab etiladi.

Nima uchun bu juda muhim?

Bugungi kunda WAF’lar web-ilovalar uchun asosiy mudofaa chizig‘i hisoblanadi. Ammo aynan shu turdagi xavfsizlik qurilmalari o‘zlarining zaifliklari tufayli:

  • tarmoqqa kirish eshigiga,
  • maxfiy ma’lumotlar omboriga,
  • keyingi hujumlar uchun ko‘prikka

aylanib qolishi mumkin.

CVE-2025-64446 shuni yana bir bor isbotladiki, tarmoq perimetri qurilmalari — xakerlar uchun eng jozibador nishonlardan biridir. Ular egallansa, butun infratuzilma xavf ostida qoladi.

FortiWeb WAF’dagi ushbu kritik zaiflik global miqyosdagi tashkilotlar uchun jiddiy tahdid tug‘diradi. Zaiflik:

  • autentifikatsiyasiz kirishni ta’minlaydi,
  • to‘liq administrator huquqlarini beradi,
  • allaqachon ekspluatatsiya qilinmoqda.

Shu bois yangilanishlar darhol o‘rnatilishi, tizimlar esa har tomonlama auditdan o‘tkazilishi zarur.