| 風險等級： |
高度威脅 |
| 摘 要： |
弱點通告 : Fortinet 發布修補旗下 FortiSIEM 等產品安全公告, 建議請管理者儘速評估更新！ |
| 影響系統： |
FortiSIEM 7.4 7.40 版本FortiSIEM 7.3 7.3.0 至 7.3.4 版本FortiSIEM 7.2 7.2.0 至 7.2.6 版本FortiSIEM 7.1 7.1.0 至 7.1.8 版本FortiSIEM 7.0 7.0.0 至 7.0.4 版本FortiSIEM 6.7 6.7.0 至 6.7.10 版本FortiFone 7.0 7.0.0 至 7.0.1 版本FortiFone 3.0 3.0.13 至 3.0.23 版本 |
| 解決辦法： |
建議請管理者評估更新到最新版本 :
FortiSIEM 7.4 升級到 7.4.1 (含)之後版本
FortiSIEM 7.3 升級到7.3.5 (含)之後版本
FortiSIEM 7.2 升級到 7.2.7 (含)之後版本
FortiSIEM 7.1 升級到 7.1.9 (含)之後版本
FortiSIEM 7.0 建議升級至更高版本
FortiSIEM 6.7 建議升級至更高版本
FortiFone 7.0 升級到 7.0.2 (含)之後版本
FortiFone 3.0 升級到 3.0.24 (含)之後版本
|
| 細節描述： |
Fortinet修補旗下FortiSIEM等產品2重大漏洞，包含一個程式碼執行及一個洩露配置資訊的重大風險漏洞。
CVE-2025-64155：CVSS 9.4
此漏洞影響FortiSIEM(安全資訊與事件管理平臺)，是OS指令特別元素中和不當（improper neutralization）漏洞，可讓未經驗證的攻擊者傳送變造的TCP請求，以在受害裝置上執行非授權程式或指令。
CVE-2025-47855：CVSS 9.3
此漏洞為存在FortiFone Web Portal的存取控管不當漏洞。FortiFone Web Portal 是 Fortinet FortiVoice 系統的集中管理介面，用於遠端配置電話分機、監控通話紀錄與系統效能。這項漏洞可讓未經授權的攻擊者傳送變造的HTTP或HTTPS請求而取得裝置配資訊。
CVE-2025-25249 : CVSS 7.4
該漏洞為存在FortiOS及FortiSwitchManager cw_acd daemon的堆積緩衝溢位漏洞，可讓遠端未經授權的攻擊者傳送變造請求，執行任意程式碼或指令。
CVE-2025-59922 : CVSS 6.8
該漏洞為 FortiClientEMS中的SQL指令注入漏洞，經驗證、只有最小唯讀管理權限的攻擊者可傳送變造的HTTP/HTTPS請求，執行非授權SQL指令或程式碼。
CVE-2025-58693 : CVSS 5.7
該漏洞為 FortiVoice中的路徑遍歷（path traversal）漏洞，可讓具特權的攻擊者經由發送HTTP或HTTPS請求，刪除底層檔案系統的檔案。
CVE-2025-67685 : CVSS 3.8
該漏洞為存在FortiSandbox的伺服器端請求偽造（Server-Side Request Forgery，SSRF）漏洞，可讓經過驗證的攻擊者利用特製HTTP請求，讓FortiSandbox代理存取內部網路中未加密（plaintext）的服務。
HiNet SOC 建議管理者儘速評估更新，以降低受駭風險。
https://hisecure.hinet.net/secureinfo/hotnews.php |
| 參考資訊： |
ithome
Fortinet
Fortiguard
|
| |
