Fortinet FortiVoice 7.2.0 से 7.2.2 और FortiVoice 7.0.0 से 7.0.7 में कई अनुचित पाथनाम सीमाएँ ('Path Traversal') [CWE-22] भेद्यता

यह भेद्यता एक प्रमाणित हमलावर को FortiVoice डिवाइस पर मनमाने ढंग से फ़ाइलें लिखने की अनुमति देती है, जिससे संभावित रूप से सिस्टम पर पूर्ण नियंत्रण प्राप्त हो सकता है। हमलावर कॉन्फ़िगरेशन फ़ाइलों को संशोधित कर सकता है, दुर्भावनापूर्ण कोड अपलोड कर सकता है, या संवेदनशील डेटा तक पहुंच प्राप्त कर सकता है। यह भेद्यता अन्य प्रणालियों में भी फैल सकती है यदि FortiVoice डिवाइस का उपयोग नेटवर्क के अन्य हिस्सों तक पहुंचने के लिए किया जाता है। इस तरह की भेद्यता का शोषण करने से सिस्टम की उपलब्धता, अखंडता और गोपनीयता खतरे में पड़ सकती है।

Organizations utilizing FortiVoice devices, particularly those with legacy configurations or shared hosting environments, are at risk. Environments where privileged user accounts have broad write access to the system are especially vulnerable. Any deployment relying on FortiVoice for critical voice communication should prioritize patching.

• fortinet / server:

journalctl -u fortivvoice | grep -i "path traversal"

• fortinet / server:

find /var/log/fortivvoice -type f -mtime -7 -name "*.log" | grep -i "path traversal"

• generic web:

curl -I 'http://fortivoice/../../../../etc/passwd' # Example path traversal attempt

1. 2025-12-09Disclosure

   disclosure

1. आरक्षित2025-09-25
2. प्रकाशित2025-12-09
3. संशोधित2026-02-26
4. EPSS अद्यतन2026-03-23

Fortinet ने इस भेद्यता को ठीक करने के लिए एक पैच जारी किया है। प्रभावित सिस्टम को तुरंत नवीनतम संस्करण में अपडेट किया जाना चाहिए। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, फ़ायरवॉल नियमों को लागू करके या वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके उन HTTP/HTTPS कमांड को ब्लॉक किया जा सकता है जो भेद्यता का शोषण करने का प्रयास करते हैं। सिस्टम लॉग की नियमित रूप से निगरानी करना भी महत्वपूर्ण है ताकि किसी भी संदिग्ध गतिविधि का पता लगाया जा सके। अपडेट के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, सिस्टम की कार्यक्षमता का परीक्षण करें।