FortiWeb の SQLi 脆弱性 CVE-2025-25257 が FIX：未認証の攻撃者にデータベース操作を許容

FortiWeb SQL Injection Vulnerability Allows Attacker to Execute Malicious SQL Code

2025/07/09 CyberSecurityNews — FortiWeb WAF (web application firewalls) に深刻なセキュリティ脆弱性 CVE-2025-25257 が発見された。この脆弱性を悪用する未認証の攻撃者は、細工された HTTP および HTTPS リクエストを介して、不正な SQL コマンドの実行を可能にするという。この脆弱性は、CWE-89 (SQL コマンドで使用される特殊要素の不適切な無効化) に分類されており、Webアプリケーションのセキュリティ対策として、FortiWeb を使用する組織にとって重大な脅威を生み出すものだ。

主なポイント
  1. FortiWeb の深刻な脆弱性 CVE-2025-25257 を悪用する攻撃者は、細工されたリクエストを用いて悪意のある SQL を実行できる。
  2. FortiWeb バージョン 7.0〜7.6 (複数のサブバージョン) に影響するため、速やかなアップグレードが必要である。
  3. この脆弱性が悪用された場合には、データおよびシステムのセキュリティが侵害される可能性がある。
  4. 速やかにパッチを適用し、予防措置として管理インターフェイスを無効化すべきである。

この脆弱性の CVE-2025-25257 の深刻度は、CVSS v3：9.6 (Critical) と評価されている。

FortiWeb SQL インジェクション脆弱性

この脆弱性は、FortiWeb GUI コンポーネントにおける、不適切な入力検証メカニズムに起因する。アプリケーションのセキュリティ制御を回避するように細工された悪意の SQL ペイロードを取り込む、HTTP／HTTPS リクエストの送信により、この脆弱性の悪用が可能となる。

その結果として、SQL インジェクション攻撃が成立し、悪意の SQL コードがデータベース・クエリに挿入され、バックエンド・データベースに保存される機密データの読取／変更／削除の可能性が生じる。

CWE-89 が示すのは、SQL クエリに組み込まれる前のユーザー入力に対するサニタイズの欠如であり、それにより脆弱性がトリガーされることである。この根本的なセキュリティ上の弱点により、Webリクエストを通じた悪意の SQL コマンドの注入が可能となるため、攻撃者によるデータベース操作が許容されてしまう。

この脆弱性の悪用は、未認証の攻撃者にも許され、システム・アクセス権や認証情報も必要とされないことから、リスク・プロファイルを大幅に高める要因となっている。

リスク要因詳細
Risk FactorsDetails
Affected ProductsFortiWeb 7.6.0–7.6.3FortiWeb 7.4.0–7.4.7FortiWeb 7.2.0–7.2.10FortiWeb 7.0.0–7.0.10
ImpactExecute unauthorized code or commands
Exploit PrerequisitesNone (Unauthenticated, remote attacker)
CVSS 3.1 Score9.6 (Critical)

この脆弱性が影響を及ぼす範囲は、複数の FortiWeb バージョンの、リリース・ブランチにまたがる：

  • FortiWeb 7.6 (7.6.0～7.6.3) は 7.6.4 以降へ更新
  • FortiWeb 7.4 (7.4.0～7.4.7) は 7.4.8 以降へ更新
  • FortiWeb 7.2 (7.2.0～7.2.10) は 7.2.11 以降へ更新
  • FortiWeb 7.0 (7.0.0～7.0.10) は 7.0.11 以降へ更新

この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で、不正なコード／コマンドの実行を可能にするという。

その結果として引き起こされるものとして挙げられるのは、システム全体の侵害／データの流出／サービスの中断／ネットワーク・インフラ内でのラテラル・ムーブメント (横方向の移動) などである。

それぞれのユーザー組織にとって必要なことは、各ブランチにおいて指定されたパッチ適用済みバージョンへの、速やかなアップグレードだ。

当面の回避策として管理者に推奨されるのは、パッチ適用が完了するまでの間において、HTTP/HTTPS 管理インターフェイスを無効化し、攻撃対象領域を削減することだ。

この脆弱性は、GMO Cybersecurity の Kentaro Kawane から Ierae へと適切に開示されている。

パッチの展開と並行して、潜在的な悪用試行を検出するためのセキュリティ対策として、ネットワーク・セグメンテーション／アクセス制御／継続的な監視などを、組織として実装すべきである。

FortiWeb に深刻な SQL インジェクション脆弱性が発見され、この WAF を信頼する組織に大きなリスクが生じていまる。未認証でも攻撃が可能であるため、数多くの攻撃者に標的化される恐れがあります。ご利用ください、ご注意ください。よろしければ、WAF で検索も、ご参照ください。