[데일리시큐]포티넷, 포티웹 취약점 패치 공개…관리자 계정까지 위험할 수 있어 패치 적용 필수

내용 요약

Fortinet의 웹 애플리케이션 방화벽 FortiWeb에서 인증 우회 취약점(CVE-2025-52970)이 발견되어 패치가 배포되었습니다. 이 취약점은 원격 공격자가 관리자를 포함한 모든 사용자로 위장하여 로그인할 수 있게 합니다. 보안 연구원 Aviv Y는 이 취약점을 'FortMajeure'라 명명하고, 세션 쿠키 파싱 과정의 문제점을 지적했습니다.

핵심 포인트

• Fortinet FortiWeb의 인증 우회 취약점 CVE-2025-52970 발견 및 패치 완료 ✅
• 원격 공격자가 모든 사용자(관리자 포함)로 위장 로그인 가능
• 취약점 명칭: FortMajeure
• 원인: 세션 쿠키 파싱 과정의 문제
• Aviv Y의 기술 분석 및 부분적 PoC 공개 ‍

기술 세부 내용

1️⃣ FortiWeb 인증 우회 취약점 (CVE-2025-52970)

• 개요: Fortinet의 웹 애플리케이션 방화벽 FortiWeb에서 발견된 인증 우회 취약점입니다. 이 취약점을 악용한 원격 공격자는 관리자를 포함한 모든 사용자로 위장하여 FortiWeb에 로그인할 수 있습니다.
• CVE ID: CVE-2025-52970
• 영향:
  • 권한 없는 사용자 접근
  • 데이터 유출 및 변조
  • 시스템 제어 탈취
  • 서비스 거부 (DoS) 공격 가능성
• 원인: FortiWeb의 세션 쿠키 파싱 과정에서 발생하는 문제입니다.
  • 세션 쿠키는 사용자 인증 정보를 저장하고 관리하는 데 사용됩니다.
  • 취약점은 FortiWeb이 세션 쿠키를 올바르게 검증하지 못하여 발생합니다.
• 연구원 명칭: Aviv Y는 이 취약점을 'FortMajeure'라고 명명했습니다.
• PoC (개념 증명): Aviv Y는 부분적인 PoC를 공개했습니다. 이를 통해 취약점의 존재와 잠재적 위험성을 확인할 수 있습니다.
• 패치 정보: Fortinet은 8월 12일에 해당 취약점에 대한 패치를 배포했습니다. ️
• 대응 방안: FortiWeb 사용자는 즉시 최신 버전으로 업데이트하여 취약점을 해결해야 합니다. ⬆️

2️⃣ 세션 쿠키 파싱 문제

• 세션 쿠키란? 웹 서버가 사용자의 브라우저에 저장하는 작은 데이터 조각입니다.
  • 사용자의 로그인 상태를 유지하는 데 사용됩니다.
  • 사용자의 선호도, 장바구니 정보 등 다양한 정보를 저장할 수 있습니다.
• 파싱 (Parsing): 문자열을 분석하여 의미 있는 토큰으로 분해하는 과정입니다.
  • 웹 서버는 세션 쿠키를 파싱하여 사용자 인증 정보를 추출합니다.
• 취약점 발생 원리:
  • FortiWeb의 세션 쿠키 파싱 과정에서 발생하는 오류로 인해 공격자가 악의적으로 조작된 세션 쿠키를 사용하여 다른 사용자의 세션에 접근할 수 있습니다.
  • 쿠키의 무결성 검증 미흡, 암호화 취약점, 예측 가능한 세션 ID 등이 원인이 될 수 있습니다.
• 공격 시나리오:
  1. 공격자는 FortiWeb의 세션 쿠키 파싱 취약점을 분석합니다. ️‍♀️
  2. 악의적으로 조작된 세션 쿠키를 생성합니다. ️
  3. 해당 쿠키를 사용하여 FortiWeb에 접근합니다.
  4. FortiWeb은 조작된 쿠키를 정상적인 것으로 인식하고, 공격자는 다른 사용자의 권한을 획득합니다.

3️⃣ Fortinet FortiWeb

• FortiWeb: Fortinet에서 제공하는 웹 애플리케이션 방화벽 (WAF)입니다. ️
  • 웹 애플리케이션을 보호하기 위해 설계되었습니다.
  • SQL Injection, Cross-Site Scripting (XSS) 등의 공격을 탐지하고 차단합니다.
• 주요 기능:
  • 웹 애플리케이션 공격 방어 ⚔️
  • 악성 봇 탐지 및 차단
  • 데이터 유출 방지
  • 웹 애플리케이션 취약점 스캐닝
  • 로드 밸런싱 및 가속 ⚖️
• 보안 위협 대응: FortiWeb은 다양한 보안 위협에 대응하기 위해 지속적으로 업데이트됩니다.
  • 새로운 공격 패턴에 대한 시그니처 업데이트
  • 취약점 패치 및 보안 강화

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=168842