Un investigador de seguridad ha publicado una prueba de concepto parcial que demuestra cómo un atacante remoto puede explotar una vulnerabilidad en el firewall de aplicaciones web FortiWeb para eludir la autenticación. La vulnerabilidad, denominada por el investigador Aviv Y como FortMajeure, se describe como un «fallo silencioso inesperado».
Vulnerabilidad denominada FortMajeure
Técnicamente, la vulnerabilidad corresponde a una lectura fuera de los límites en el análisis de cookies de FortiWeb. Esto permite al atacante establecer el parámetro «Era» con un valor inesperado, lo que hace que el servidor utilice una clave secreta de ceros para el cifrado de sesión y la firma HMAC. Esta situación facilita la creación de cookies de autenticación falsificadas.
Corrección publicada por Fortinet
La falla fue reportada responsablemente a Fortinet, quien la identificó como CVE-2025-52970. Fortinet publicó una corrección el 12 de agosto.
Eludir la autenticación completa
La explotación permite al atacante suplantar la identidad de cualquier usuario activo, incluido un administrador. Esto representa un riesgo significativo para la seguridad de las aplicaciones web protegidas por FortiWeb.
Requisitos para la explotación
Para explotar CVE-2025-52970 con éxito, el usuario objetivo debe tener una sesión activa durante el ataque. Además, el atacante debe forzar un pequeño campo numérico en la cookie. El requisito de fuerza bruta proviene de un campo en la cookie firmada que se valida mediante la función refresh_total_logins() (en libncfg.so).
Rango limitado para la búsqueda
Este campo es un número desconocido que el atacante debe adivinar, pero el investigador observa que el rango no suele ser superior a 30. Esto convierte en un espacio de búsqueda pequeño de aproximadamente 30 solicitudes.
Procesamiento rápido del intento
Dado que el exploit utiliza la clave de ceros (debido al error de «Era»), cada intento se puede probar instantáneamente comprobando si se acepta la cookie falsificada.
Versiones afectadas y soluciones
El problema afecta a FortiWeb 7.0 a 7.6, y se solucionó en las siguientes versiones:
- FortiWeb 7.6.4+
- FortiWeb 7.4.8+
- FortiWeb 7.2.11+
- FortiWeb 7.0.11+
Versión no afectada por FortiWeb 8.0
Fortinet afirma en el boletín que las versiones de FortiWeb 8.0 no se ven afectadas por este problema, por lo que no es necesario tomar ninguna medida.
Puntuación CVSS y complejidad del ataque
La puntuación de severidad de 7.7 en el CVSS de Fortinet puede ser engañosa, ya que se deriva de la «alta complejidad del ataque» debido al requisito de fuerza bruta. Sin embargo, en la práctica, la parte de fuerza bruta es simple y rápida de ejecutar.
Prueba de concepto parcial
El investigador compartió el resultado de una prueba de concepto (PoC) que muestra la suplantación de administrador en un endpoint REST. Sin embargo, ocultó el exploit completo, que también cubre la conexión a la CLI de FortiWeb a través de /ws/cli/open.
Publicación del exploit completo posteriormente
A pesar de ello, se deben tomar medidas inmediatas para mitigar el problema, ya que los atacantes siguen de cerca estos anuncios y se preparan para actuar cuando se publiquen las PoC completas.
Recomendación de actualización
El boletín de seguridad no incluye soluciones alternativas ni consejos de mitigación, por lo que actualizar a una versión segura es la única medida eficaz recomendada.