Fortinet, Fortios’ta, kimlik doğrulamalı saldırganların CW_STAD Daemon’daki yığın tabanlı bir tampon taşması yoluyla keyfi kod yürütmesine izin verebilecek ve popüler ağ güvenlik işletim sisteminin birden fazla sürümünü etkilemesine izin verebilecek kritik bir güvenlik açığı açıkladı.
Fortios’ta keşfedilen kritik güvenlik kusuru
Fortinet bugün CVE-2025-24477 olarak adlandırılan ve Fortios’un çeşitli versiyonlarını etkileyen önemli bir güvenlik açığının keşfini açıkladı.
| CVE numarası | Tanım | CVSS Puanı |
| CVE-2025-24477 | Ayrıcalık | 4.0 (Orta) |
Yığın tabanlı bir tampon taşması (CWE-122) olarak sınıflandırılan güvenlik açığı, CW_STAD Daemon’da bulunur ve etkilenen Fortios sürümlerini yürüten kuruluşlar için ciddi bir tehdit oluşturur.
Güvenlik açığı istismar etmek için kimlik doğrulama gerektirse de, başarılı saldırılar keyfi kod yürütülmesi yoluyla tam sistem uzlaşmasına neden olabilir.
Güvenlik kusuru, Fortinet’in ürün güvenlik ekibinden Gwendal Guégniaud tarafından dahili olarak keşfedildi ve bildirildi ve şirketin ürünleri içindeki güvenlik sorunlarını belirleme ve ele alma konusundaki proaktif yaklaşımını gösterdi.
Güvenlik açığı, CVSS V3 puanı 4.0 ile orta şiddet derecesi verilmiştir, ancak ayrıcalık artış potansiyeli onu yöneticiler için bir öncelikli endişe haline getirir.
Etkilenen sistemler ve versiyonlar
Güvenlik açığı, belirli Fortios sürümlerini birden fazla büyük sürümde etkiler, Fortios 7.0 ve 6.4 sürümleri etkilenmemiş kalır.
Güvenlik sorunu özellikle kablosuz istemciler olarak yapılandırılmış sistemleri etkiler ve bu yapılandırmada çalışırken savunmasız olarak tanımlanan sekiz özel Fortiwifi modeliyle.
| Versiyon | Etkilenen aralık | Çözüm |
| Fortios 7.6 | 7.6.0 ila 7.6.1 | 7.6.3 veya üstüne yükseltme |
| Fortios 7.4 | 7.4.0 ila 7.4.7 | 7.4.8 veya üstüne yükseltme |
| Fortios 7.2 | 7.2.4 ila 7.2.11 | 7.2.12 veya üstüne yükseltme |
| Fortios 7.0 | Etkilenmedi | Uygulanamaz |
| Fortios 6.4 | Etkilenmedi | Uygulanamaz |
Korunmasız Fortiwifi modelleri, FWF_80F_2R_3G4G_DSL, FWF_80F_2R, FWF_81F_2R_3G4G_DSL, FWF_81F_2R_DSL, FWFOE, FWF_2R_P_P_P_P_P_PF_2R, FWF_81F_2R, FWF_2RF_2, FWF_81F_2, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_81F_2, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, FWF_2R, fwf_2r FWF_91G_2R, ancak yalnızca kablosuz istemciler olarak yapılandırıldığında.
Etkilenen Fortios sürümlerini yürüten kuruluşlar, yamalı sürümlere anında yükseltmelere öncelik vermelidir.
Fortinet, yöneticilerin önerilen yükseltme yollarını takip etmesine yardımcı olmak için dokümantasyon portalları aracılığıyla kullanılabilir yükseltme araçları yaptı.
Şirket, güvenlik açığının özel olarak hazırlanmış taleplerle kullanılabileceğini ve kuruluşların gecikmeden yamalar uygulamasını zorunlu kıldığını vurgulamaktadır.
Kimlik doğrulama gereksinimi derhal yaygın sömürü riskini azaltırken, ayrıcalık artış ve keyfi kod yürütme potansiyeli, bu savunmasızlığı özellikle saldırganların zaten ilk erişim kimlik bilgilerini kazanmış olabileceği ortamlarla ilgili hale getirir.
Günlük Siber Güvenlik Haberleri’nde güncel olun. Bizi takip edin Google News, LinkedIn ve X’te.