Giriş: WAF Korumasında Büyük Açık!

Web Uygulama Güvenlik Duvarı (WAF) çözümleri arasında popüler olan Fortinet FortiWeb, son derece kritik bir güvenlik açığı ile karşı karşıya. CVE-2025-64446 olarak izlenen ve 9.1 (Kritik) CVSS puanına sahip bu zafiyet, saldırganların kimlik doğrulama mekanizmalarını aşarak sistemde yönetici (admin) komutları çalıştırmasına olanak tanıyor.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu zafiyetin “doğada aktif olarak sömürüldüğünü” (in the wild) doğruladı ve Bilinen Sömürülen Zafiyetler (KEV) kataloğuna ekledi. Federal kurumlar için son yama tarihi 21 Kasım olarak belirlendi, ancak özel sektör için risk her geçen dakika artıyor.

🔍 Zafiyetin Teknik Analizi (CVE-2025-64446)

Bu zafiyet, FortiWeb’in yönetim arayüzündeki bir Path Traversal (Yol Geçişi) hatasından kaynaklanmaktadır.

Nasıl Çalışıyor?

1. Hatalı Girdi Doğrulama: FortiWeb, gelen HTTP/HTTPS isteklerindeki URL yollarını (paths) doğru bir şekilde filtreleyemiyor.

2. Dizinler Arası Geçiş: Saldırgan, özel olarak hazırlanmış (crafted) bir istek göndererek (örneğin ../ karakterlerini kullanarak) web sunucusunun kök dizini dışına çıkabiliyor.

3. Yönetici Komutları: Bu geçiş sayesinde, saldırgan normalde erişim yetkisi olmayan sistem dosyalarına veya komut satırı arayüzüne erişerek, kimlik doğrulaması yapmadan yönetici düzeyinde komutlar çalıştırabiliyor.

Risk Boyutu

• Kimlik Doğrulama Gerekmiyor (Unauthenticated): Saldırganın herhangi bir kullanıcı adı veya şifreye ihtiyacı yok.

• Uzaktan Kod Yürütme (RCE): Sistem üzerinde tam kontrol sağlanabilir.

• WAF Bypass: WAF’ın kendisi tehlikeye girdiği için, koruduğu diğer web uygulamaları da savunmasız kalır.

🛠️ Teknik Özet

🛡️ Acil Çözüm ve Korunma Yöntemleri

Saldırganlar şu an aktif olarak savunmasız cihazları taramaktadır. Aşağıdaki adımları derhal uygulayın:

1. Yazılım Güncellemesi (Zorunlu)

Fortinet, etkilenen sürümler için yamalar yayınladı. Cihazınızın sürümünü kontrol edin ve aşağıdaki güvenli sürümlere yükseltin:

• FortiWeb 8.x: -> 8.0.2 veya üzeri

• FortiWeb 7.6.x: -> 7.6.5 veya üzeri

• FortiWeb 7.4.x: -> 7.4.10 veya üzeri

• FortiWeb 7.2.x: -> 7.2.12 veya üzeri

• FortiWeb 7.0.x: -> 7.0.12 veya üzeri

2. Yönetim Arayüzünü Kısıtlayın (Workaround)

Eğer güncellemeyi hemen yapamıyorsanız:

• İnternete Kapatın: FortiWeb yönetim arayüzünün (HTTP/HTTPS) internete (WAN) açık olmadığından emin olun.

• IP Kısıtlaması: Yönetim paneline erişimi sadece güvenilir iç ağ IP adresleriyle sınırlandırın (Trusted Hosts).