CVE-2025-67862mediumCWE-1244

CVE-2025-67862

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6epss 0.1%

probabilidad de explotación

0.1%top 95% de las CVE

explotación observada

noninguna fuente lo reporta

En resumen

Una vulnerabilidad en Fortinet FortiOS y FortiProxy permite que administradores autenticados ejecuten scripts Lua no autorizados mediante comandos especialmente diseñados. Esto podría permitir que un admin realice acciones no previstas en el dispositivo más allá de sus permisos normales.

Detalle técnico

CWE-1244 expone funcionalidades internas de depuración a través de niveles de acceso inseguros en la CLI de FortiOS/FortiProxy. Un administrador autenticado puede fabricar comandos CLI para ejecutar scripts Lua arbitrarios, eludiendo restricciones previstas. El ataque requiere credenciales admin válidas y acceso a la interfaz CLI; el impacto incluye ejecución de código no autorizado y posible compromiso del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

An Internal Asset Exposed to Unsafe Debug Access Level or State vulnerability [CWE-1244] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.2, FortiOS 7.4.0 through 7.4.7, FortiOS 7.2.0 through 7.2.10, FortiOS 7.0.0 through 7.0.16, FortiOS 6.4 all versions, FortiProxy 7.6.0 through 7.6.3, FortiProxy 7.4.0 through 7.4.10, FortiProxy 7.2.0 through 7.2.14, FortiProxy 7.0 all versions may allow an authenticated admin to execute lua scripts via crafted CLI commands.

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

Productos afectados

Fortinet · FortiOS Fortinet · FortiProxy

Referencias

https://cert-portal.siemens.com/productcert/html/ssa-864900.html https://fortiguard.fortinet.com/psirt/FG-IR-26-143