Title | CVE ID | Severity | Model | Impact |
| 원격 비인증 명령 주입 | CVE-2025-25256 | Critical | FortiSIEM | OS Command Injection (CWE-78) |
| 다중 제품 상대 경로 탐색 | CVE-2024-40588 | Medium | FortiMail, FortiVoice, FortiRecorder, FortiCamera, FortiNDR | Relative Path Traversal (CWE-23) |
| 매개변수 처리 인증 우회 | CVE-2025-52970 | High | FortiWeb | Improper Parameter Handling (CWE-233) |
| FGFM 프로토콜 약한 인증 | CVE-2024-26009 | High | FortiOS, FortiProxy, FortiPAM, FortiSwitchManager | Authentication Bypass (CWE-288) |
| CLI 명령 주입 | CVE-2025-27759 | Medium | FortiWeb | OS Command Injection (CWE-78) |
| DNS 필터 우회 | CVE-2024-55599 | Medium | FortiOS, FortiProxy, FortiSASE | Improperly Implemented Security Check (CWE-358) |
| CLI 명령어 명령 주입 | CVE-2025-47857 | Medium | FortiWeb | OS Command Injection (CWE-78) |
| 서비스 요청 XSS | CVE-2025-32932 | Medium | FortiSOAR | Cross-site Scripting (CWE-79) |
| FGFMd 임의 파일 덮어쓰기 | CVE-2024-52964 | Medium | FortiManager, FortiManager Cloud | Path Traversal (CWE-22) |
| 솔루션 팩 업로드 경로 탐색 | CVE-2024-48892 | Medium | FortiSOAR | Relative Path Traversal (CWE-23) |
| GET 요청 매개변수 OS 명령 주입 | CVE-2025-49813 | Medium | FortiADC | OS Command Injection (CWE-78) |
| Security Fabric 부정확한 권한 할당 | CVE-2025-53744 | Medium | FortiOS | Incorrect Privilege Assignment (CWE-266) |
| automation-stitch 이중 해제 | CVE-2023-45584 | Medium | FortiOS, FortiProxy, FortiPAM | Double Free (CWE-415) |
| SSL-VPN 북마크 정수 오버플로우 | CVE-2025-25248 | Medium | FortiOS, FortiPAM, FortiProxy | Integer Overflow (CWE-190) |
1. 원격 비인증 명령 주입
CriticalCVSS 9.8
기본 정보
- 취약점 ID: FG-IR-25-152
- CVE 번호: CVE-2025-25256
- 영향받는 제품: FortiSIEM
- 취약점 유형: OS Command Injection (CWE-78)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 최고 위험
- 잠재적 영향: Escalation of privilege
- 영향받는 버전: 5.4-7.3.1 (7.4 제외)
- 패치 버전: 6.7.10/7.0.4/7.1.8/7.2.6/7.3.2 이상
취약점 설명
FortiSIEM의 OS 명령 주입 취약점으로 인증되지 않은 공격자가 특수 제작된 CLI 요청을 통해 무단 코드나 명령을 실행할 수 있습니다. 실제 악용 코드가 발견되었습니다.
2. 다중 제품 상대 경로 탐색
MediumCVSS 4.2
기본 정보
- 취약점 ID: FG-IR-24-309
- CVE 번호: CVE-2024-40588
- 영향받는 제품: FortiMail, FortiVoice, FortiRecorder, FortiCamera, FortiNDR
- 취약점 유형: Relative Path Traversal (CWE-23)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Improper access control
- 영향받는 버전: 다중 제품 및 버전
- 패치 버전: 제품별 최신 버전 업그레이드
취약점 설명
권한 있는 공격자가 특수 제작된 CLI 요청을 통해 기저 파일시스템의 파일을 읽을 수 있는 다수의 상대 경로 탐색 취약점입니다.
3. 매개변수 처리 인증 우회
HighCVSS 7.7
기본 정보
- 취약점 ID: FG-IR-25-448
- CVE 번호: CVE-2025-52970
- 영향받는 제품: FortiWeb
- 취약점 유형: Improper Parameter Handling (CWE-233)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 높은 위험
- 잠재적 영향: Improper access control
- 영향받는 버전: 7.0.0-7.6.3
- 패치 버전: 7.0.11/7.2.11/7.4.8/7.6.4 이상
취약점 설명
인증되지 않은 원격 공격자가 특수 제작된 요청을 통해 기존 사용자로 로그인할 수 있는 인증 우회 취약점입니다.
4. FGFM 프로토콜 약한 인증
HighCVSS 7.9
기본 정보
- 취약점 ID: FG-IR-24-042
- CVE 번호: CVE-2024-26009
- 영향받는 제품: FortiOS, FortiProxy, FortiPAM, FortiSwitchManager
- 취약점 유형: Authentication Bypass (CWE-288)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 높은 위험
- 잠재적 영향: Execute unauthorized code or commands
- 영향받는 버전: FortiOS 6.0-6.4.15, FortiProxy 7.0-7.4.2, FortiPAM 1.0-1.2, FortiSwitchManager 7.0-7.2.3
- 패치 버전: 각 제품별 최신 버전
취약점 설명
FortiManager로 관리되는 장치에서 FGFM 요청을 통해 인증되지 않은 공격자가 장치 제어권을 탈취할 수 있는 취약점입니다.
5. CLI 명령 주입
MediumCVSS 6.7
기본 정보
- 취약점 ID: FG-IR-25-150
- CVE 번호: CVE-2025-27759
- 영향받는 제품: FortiWeb
- 취약점 유형: OS Command Injection (CWE-78)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Escalation of privilege
- 영향받는 버전: 7.0.0-7.6.3
- 패치 버전: 7.0.11/7.2.11/7.4.8/7.6.4 이상
취약점 설명
인증된 권한 있는 공격자가 특수 제작된 CLI 명령을 통해 무단 코드나 명령을 실행할 수 있는 OS 명령 주입 취약점입니다.
6. DNS 필터 우회
MediumCVSS 4.9
기본 정보
- 취약점 ID: FG-IR-24-053
- CVE 번호: CVE-2024-55599
- 영향받는 제품: FortiOS, FortiProxy, FortiSASE
- 취약점 유형: Improperly Implemented Security Check (CWE-358)
- 공개일: 2025-07-08
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Improper access control
- 영향받는 버전: FortiOS 6.4-7.6.0, FortiProxy 7.0-7.6.1
- 패치 버전: 각 제품별 최신 버전
취약점 설명
Apple 기기를 통해 원격 인증되지 않은 사용자가 DNS 필터를 우회할 수 있는 취약점입니다.
7. CLI 명령어 명령 주입
MediumCVSS 6.5
기본 정보
- 취약점 ID: FG-IR-25-253
- CVE 번호: CVE-2025-47857
- 영향받는 제품: FortiWeb
- 취약점 유형: OS Command Injection (CWE-78)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Execute unauthorized code or commands
- 영향받는 버전: FortiWeb 7.4.1-7.4.8, 7.6.0-7.6.3 (7.2/7.0/8.0 영향 없음)
- 패치 버전: 7.4.9/7.6.4 이상
취약점 설명
권한 있는 공격자가 특수 제작된 CLI 명령을 통해 임의의 코드나 명령을 실행할 수 있는 OS 명령 주입 취약점입니다.
8. 서비스 요청 XSS
MediumCVSS 6.2
기본 정보
- 취약점 ID: FG-IR-24-513
- CVE 번호: CVE-2025-32932
- 영향받는 제품: FortiSOAR
- 취약점 유형: Cross-site Scripting (CWE-79)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Execute unauthorized code or commands
- 영향받는 버전: 7.0-7.6.1
- 패치 버전: 7.5.2/7.6.2 이상
취약점 설명
인증된 원격 공격자가 저장된 악성 서비스 요청을 통해 XSS 공격을 수행할 수 있는 취약점입니다.
9. FGFMd 임의 파일 덮어쓰기
MediumCVSS 5.2
기본 정보
- 취약점 ID: FG-IR-24-473
- CVE 번호: CVE-2024-52964
- 영향받는 제품: FortiManager, FortiManager Cloud
- 취약점 유형: Path Traversal (CWE-22)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Execute unauthorized code or commands
- 영향받는 버전: 6.2-7.6.1
- 패치 버전: 7.0.14/7.2.10/7.4.6/7.6.2 이상
취약점 설명
인증된 원격 공격자가 FGFM 특수 제작된 요청을 통해 임의의 파일을 덮어쓸 수 있는 경로 탐색 취약점입니다.
10. 솔루션 팩 업로드 경로 탐색
MediumCVSS 6.4
기본 정보
- 취약점 ID: FG-IR-24-421
- CVE 번호: CVE-2024-48892
- 영향받는 제품: FortiSOAR
- 취약점 유형: Relative Path Traversal (CWE-23)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Information disclosure
- 영향받는 버전: 7.3-7.6.0
- 패치 버전: 7.5.2/7.6.1 이상
취약점 설명
인증된 공격자가 악성 솔루션 팩을 업로드하여 임의의 파일을 읽을 수 있는 상대 경로 탐색 취약점입니다.
11. GET 요청 매개변수 OS 명령 주입
MediumCVSS 6.6
기본 정보
- 취약점 ID: FG-IR-25-501
- CVE 번호: CVE-2025-49813
- 영향받는 제품: FortiADC
- 취약점 유형: OS Command Injection (CWE-78)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Execute unauthorized code or commands
- 영향받는 버전: 6.2 전체, 7.1.0-7.1.1, 7.2.0
- 패치 버전: 7.1.2/7.2.1 이상
취약점 설명
낮은 권한을 가진 원격 인증된 공격자가 특수 제작된 HTTP 매개변수를 통해 무단 코드를 실행할 수 있는 OS 명령 주입 취약점입니다.
12. Security Fabric 부정확한 권한 할당
MediumCVSS 6.8
기본 정보
- 취약점 ID: FG-IR-25-173
- CVE 번호: CVE-2025-53744
- 영향받는 제품: FortiOS
- 취약점 유형: Incorrect Privilege Assignment (CWE-266)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Escalation of privilege
- 영향받는 버전: 6.4-7.6.2
- 패치 버전: 7.4.8/7.6.3 이상
취약점 설명
높은 권한을 가진 원격 인증된 공격자가 악성 FortiManager에 장치를 등록하여 권한을 super-admin으로 상승시킬 수 있는 부정확한 권한 할당 취약점입니다.
13. automation-stitch 이중 해제
MediumCVSS 6.3
기본 정보
- 취약점 ID: FG-IR-23-209
- CVE 번호: CVE-2023-45584
- 영향받는 제품: FortiOS, FortiProxy, FortiPAM
- 취약점 유형: Double Free (CWE-415)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Execute unauthorized code or commands
- 영향받는 버전: FortiOS 6.4-7.4.0, FortiProxy 7.0-7.4.1, FortiPAM 1.0-1.1
- 패치 버전: 각 제품별 최신 버전
취약점 설명
권한 있는 공격자가 특수 제작된 HTTP/HTTPS 요청을 통해 코드나 명령을 실행할 수 있는 이중 해제 취약점입니다.
14. SSL-VPN 북마크 정수 오버플로우
MediumCVSS 4.8
기본 정보
- 취약점 ID: FG-IR-24-364
- CVE 번호: CVE-2025-25248
- 영향받는 제품: FortiOS, FortiPAM, FortiProxy
- 취약점 유형: Integer Overflow (CWE-190)
- 공개일: 2025-08-12
위험도 평가
- 위험 수준: 보통 위험
- 잠재적 영향: Denial of service
- 영향받는 버전: FortiOS 6.4-7.6.2, FortiPAM 1.0-1.5.0, FortiProxy 2.0-7.6.2
- 패치 버전: 각 제품별 최신 버전
취약점 설명
인증된 사용자가 특수 제작된 요청을 통해 SSL-VPN 가용성에 영향을 줄 수 있는 정수 오버플로우 취약점입니다.