Een Improper Privilege Management [CWE-269] kwetsbaarheid in Fortinet FortiOS 7.6.0 t/m 7.6.1, FortiOS 7.4.0 t/m 7.4.6, FortiOS 7.2.0 t/m 7.2.10, FortiOS 7.0.0 t/m 7.0.16,

Een succesvolle exploitatie van CVE-2025-22254 kan een aanvaller volledige controle over een getroffen FortiOS, FortiProxy of FortiWeb apparaat verschaffen. Dit omvat de mogelijkheid om configuratie wijzigingen aan te brengen, netwerkverkeer te manipuleren, gevoelige gegevens te extraheren en lateraal te bewegen binnen het netwerk. De impact is aanzienlijk, aangezien de aanvaller de controle over de beveiligingsperimeter kan overnemen. De kwetsbaarheid maakt gebruik van een onjuiste privilege management in de Node.js websocket module, waardoor een geauthenticeerde gebruiker met beperkte rechten ongeautoriseerde toegang kan verkrijgen.

Organizations heavily reliant on Fortinet FortiOS, FortiProxy, or FortiWeb appliances are at risk. Specifically, deployments utilizing read-only administrator accounts for monitoring or limited access, and those running vulnerable versions (6.4.0-7.6.1 for FortiOS, 7.4.0-7.6.1 for FortiProxy, and 7.4.0-7.6.1 for FortiWeb) are particularly vulnerable. Shared hosting environments using these appliances also face increased risk.

• fortinet: Examine FortiOS system logs for unusual websocket requests or attempts to modify system configurations by read-only administrators.

Get-WinEvent -LogName Security -FilterXPath '//Event[System[Provider[@Name='Fortinet FortiOS']]]'

• linux / server: Monitor Fortinet device logs using journalctl for suspicious activity related to the Node.js websocket module.

journalctl -u fortinet -f | grep "websocket"

• generic web: Use curl to test the websocket endpoint and observe the response for any unexpected behavior.

curl -v wss://<fortigate_ip>/node.js/websocket

1. 2025-06-10Disclosure

   disclosure

1. Gereserveerd2025-01-02
2. Gepubliceerd2025-06-10
3. Gewijzigd2026-02-26
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2025-22254 is het upgraden van FortiOS, FortiProxy of FortiWeb naar een gepatchte versie. Fortinet heeft beveiligingsupdates uitgebracht om deze kwetsbaarheid te verhelpen. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de Node.js websocket module of het implementeren van strikte toegangscontroles voor gebruikers met read-only admin rechten. Controleer de Fortinet security advisory voor specifieke aanbevelingen en patch details. Na de upgrade, verifieer de correcte werking van de functionaliteit en controleer de systeemlogboeken op verdachte activiteiten.