CVE-2025-32756
Fortinet Multiple Products Stack-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2025-32756 ist eine Stack-basierte Buffer-Overflow-Schwachstelle, die mehrere Fortinet-Produkte betrifft, darunter FortiMail, FortiNDR, FortiRecorder, FortiVoice und FortiCamera. Ein nicht authentifizierter Angreifer kann ueber speziell praeparierte HTTP-Anfragen mit einem manipulierten Hash-Cookie beliebigen Code oder Befehle auf dem betroffenen System ausfuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.8 (CRITICAL) bewertet.
Die CISA hat CVE-2025-32756 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 4. Juni 2025. Der EPSS-Score von 33.12 % (96. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit. Die Breite der betroffenen Produktpalette und die Moeglichkeit der Ausnutzung ohne Authentifizierung machen diese Schwachstelle besonders kritisch fuer Organisationen mit Fortinet-Infrastruktur.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortimail | >= 7.0.0, < 7.0.9; >= 7.2.0, < 7.2.8; >= 7.4.0, < 7.4.5; >= 7.6.0, < 7.6.3 |
| fortinet | fortindr | >= 7.0.0, < 7.0.7; >= 7.2.0, < 7.2.5; >= 7.4.0, < 7.4.8; 1.1.0; 1.2.0; 1.3.0; 1.4.0; 1.5.0; 7.1.0; 7.1.1; 7.6.0 |
| fortinet | fortirecorder | >= 6.4.0, < 6.4.6; >= 7.0.0, < 7.0.6; >= 7.2.0, < 7.2.4 |
| fortinet | fortivoice | >= 6.4.0, < 6.4.11; >= 7.0.0, < 7.0.7; 7.2.0 |
| fortinet | forticamera firmware | >= 2.0.0, <= 2.1.3; >= 1.1.0, <= 1.1.5 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://fortiguard.fortinet.com/psirt/FG-IR-25-254(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-32756(US Government Resource)
Schwachstellentyp
CWE-121: Stack-basierter Buffer Overflow
CVE-2025-32756 basiert auf CWE-121 (Stack-basierter Buffer Overflow), einer besonders gefaehrlichen Variante des Buffer Overflow. Bei einem Stack-basierten Overflow werden Daten in einen auf dem Stack allokierten Puffer geschrieben, die dessen zugewiesene Groesse ueberschreiten. Dies kann angrenzende Stack-Daten einschliesslich gespeicherter Ruecksprungadressen ueberschreiben. Im Fall der Fortinet-Produkte wird der Hash-Cookie in HTTP-Anfragen nicht ordnungsgemaess groessenbegrenzt, sodass ein Angreifer durch einen ueberlangen Cookie den Stack korrumpieren und die Programmausfuehrung kapern kann.
Weitere Informationen: CWE-121 -- Stack-basierter Buffer Overflow
CWE-787: Out-of-bounds Write
Zusaetzlich ist CWE-787 (Out-of-bounds Write) relevant, da die Schwachstelle das Schreiben von Daten ausserhalb der vorgesehenen Puffergrenzen ermoeglicht. Out-of-bounds Writes sind eine der gefaehrlichsten Schwachstellenklassen und bieten einen direkten Pfad zur beliebigen Code-Ausfuehrung.
Weitere Informationen: CWE-787 -- Out-of-bounds Write
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-32756 sind aufgrund der kritischen CVSS-Bewertung und der Breite der betroffenen Produktpalette ausserordentlich schwerwiegend. Der CVSS-Vektor zeigt, dass die Schwachstelle ueber das Netzwerk (AV:N) ohne Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N) mit niedriger Komplexitaet (AC:L) ausnutzbar ist. Vertraulichkeit (High): Ein Angreifer mit Code-Ausfuehrung auf Fortinet-Appliances kann auf saemtliche verarbeiteten Daten zugreifen -- bei FortiMail sind dies E-Mail-Inhalte, bei FortiVoice Kommunikationsdaten und bei FortiNDR Netzwerk-Analysedaten. Integritaet (High): Die vollstaendige Systemkontrolle ermoeglicht die Manipulation von Sicherheitsrichtlinien, das Einspielen von Backdoors und die Veraenderung von Ueberwachungsdaten. Verfuegbarkeit (High): Der Angreifer kann die betroffenen Sicherheitsappliances lahmlegen, was zu Ausfaellen der E-Mail-Infrastruktur, Netzwerkueberwachung und Kommunikationssysteme fuehrt. Der EPSS-Score von 33.12 % im 96. Perzentil zeigt eine hohe Ausnutzungswahrscheinlichkeit, die durch die KEV-Aufnahme bestaetigt wird.
Exploit-Reifegrad
CVE-2025-32756 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 4. Juni 2025. Der EPSS-Score von 33.12 % (96. Perzentil) zeigt, dass diese Schwachstelle zu den Top 4 % der am staerksten ausgenutzten weltweit gehoert. Fortinet hat in seinem Security Advisory FG-IR-25-254 die Schwachstelle bestaetigt und gepatchte Versionen bereitgestellt. Fortinet-Produkte sind aufgrund ihrer weiten Verbreitung in Unternehmensnetzen ein bevorzugtes Ziel fuer staatlich unterstuetzte Bedrohungsakteure und cyberkriminelle Gruppen. Die Moeglichkeit der Ausnutzung ohne Authentifizierung ueber das Netzwerk macht diese Schwachstelle besonders attraktiv fuer automatisierte Angriffe.
Behebung
-
Umgehendes Update auf gepatchte Versionen installieren: Aktualisieren Sie FortiMail auf Version 7.0.9, 7.2.8, 7.4.5 oder 7.6.3; FortiNDR auf Version 7.0.7, 7.2.5 oder 7.4.8; FortiRecorder auf Version 6.4.6, 7.0.6 oder 7.2.4; FortiVoice auf Version 6.4.11 oder 7.0.7; FortiCamera erfordert ein Upgrade ueber Version 2.1.3 hinaus gemaess Fortinet-Hinweisen.
-
HTTP-Zugriff einschraenken: Beschraenken Sie den HTTP/HTTPS-Zugriff auf die Management-Oberflaechen der betroffenen Appliances auf vertrauenswuerdige IP-Bereiche. Blockieren Sie den externen Zugriff auf Management-Ports vollstaendig.
-
Web Application Firewall vorschalten: Implementieren Sie eine WAF, die ueberlange Cookie-Werte und verdaechtige HTTP-Header in Anfragen an Fortinet-Appliances erkennt und blockiert.
-
Forensische Untersuchung durchfuehren: Aufgrund der aktiven Ausnutzung sollten alle betroffenen Fortinet-Appliances auf Anzeichen einer Kompromittierung untersucht werden. Pruefen Sie auf unbekannte Administratorkonten, veraenderte Konfigurationen und verdaechtige Netzwerkverbindungen.
-
Netzwerksegmentierung ueberpruefen: Stellen Sie sicher, dass kompromittierte Fortinet-Appliances keinen ungehinderten Zugriff auf kritische interne Netzwerksegmente haben. Implementieren Sie strikte Segmentierung zwischen Management- und Produktionsnetzwerken.
Technische Details
CVE-2025-32756 betrifft mehrere Fortinet-Produkte, darunter FortiMail, FortiNDR, FortiRecorder, FortiVoice und FortiCamera. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk ohne jegliche Authentifizierung oder Benutzerinteraktion mit niedriger Komplexitaet durchfuehrbar ist. Die Schwachstelle liegt in der Verarbeitung von HTTP-Anfragen mit manipulierten Hash-Cookies. Wenn ein speziell praeparierter Cookie-Wert an die betroffenen Dienste gesendet wird, ueberschreitet dessen Laenge den vorgesehenen Stack-Puffer. Da der Puffer auf dem Stack allokiert ist, ueberschreibt der Overflow angrenzende Stack-Strukturen einschliesslich der Ruecksprungadresse. Ein Angreifer kann dies gezielt ausnutzen, um die Programmausfuehrung auf eingeschleusten Shellcode oder ROP-Gadgets umzulenken. Alle drei Impact-Metriken (Vertraulichkeit, Integritaet, Verfuegbarkeit) sind auf High gesetzt, was die vollstaendige Systemkompromittierung widerspiegelt.
Häufig gestellte Fragen
Wird CVE-2025-32756 aktiv ausgenutzt?
Ja, CVE-2025-32756 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und Fortinet hat die aktive Ausnutzung in seinem Security Advisory bestaetigt. Der EPSS-Score von 33.12 % platziert diese Schwachstelle im 96. Perzentil.
Welche Produkte sind von CVE-2025-32756 betroffen?
Betroffen sind mehrere Fortinet-Produkte: FortiMail (7.0 bis 7.6.2), FortiNDR (7.0 bis 7.6.0), FortiRecorder (6.4 bis 7.2.3), FortiVoice (6.4 bis 7.2.0) und FortiCamera (1.1 bis 2.1.3). Die genauen betroffenen Versionsbereiche variieren je nach Produkt.
Wie behebe ich CVE-2025-32756?
Aktualisieren Sie alle betroffenen Fortinet-Produkte auf die entsprechenden gepatchten Versionen gemaess dem Fortinet Security Advisory FG-IR-25-254. Beschraenken Sie den HTTP-Zugriff auf Management-Oberflaechen und fuehren Sie eine forensische Pruefung durch.
Wie schwerwiegend ist CVE-2025-32756?
CVE-2025-32756 hat einen CVSS-Score von 9.8 (CRITICAL) und einen EPSS-Score von 33.12 % im 96. Perzentil. Die Schwachstelle ermoeglicht die vollstaendige Systemkompromittierung ohne Authentifizierung und betrifft eine breite Palette von Fortinet-Sicherheitsprodukten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.