Fortinet waarschuwt opnieuw voor actief aangevallen lek in FortiWeb-firewall
Fortinet waarschuwt klanten opnieuw voor een actief aangevallen beveiligingslek in de FortiWeb-firewall dat het eerder al patchte, maar waar het geen melding van maakte. Via de kwetsbaarheid, aangeduid als CVE-2025-58034, kan een geauthenticeerde aanvaller via het versturen van HTTP requests OS-commando's op de firewall uitvoeren en het apparaat zo compromitteren. FortiWeb is een apparaat dat applicaties tegen aanvallen moet beschermen.
Het beveiligingslek is verholpen in FortiWeb 8.0.2, 7.6.6, 7.4.11, 7.2.12 en 7.0.12. Deze versies verschenen de afgelopen maanden al, maar nergens in de release notes wordt de aanwezigheid van de kwetsbaarheid gemeld. Een aantal dagen geleden bevestigde FortiWeb dat het een ander actief aangevallen beveiligingslek eerder al had gepatcht, maar wederom werd het bestaan van deze kwetsbaarheid (CVE-2025-64446) nergens vermeld. Details over de aanvallen op FortiWeb-firewalls zijn niet gegeven.
Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security kan federale overheidsinstanties verplichten om actief aangevallen lekken te patchen. Normaliter wordt hiervoor een periode van drie weken gehanteerd. In dit geval heeft het CISA overheidsinstanties opgedragen de patch van Fortinet voor CVE-2025-58034 binnen een week te installeren. Iets dat het ook deed met de update voor CVE-2025-64446.
Hier ook OPNsense in combinatie met wat security tools zoals Q-Feeds, Suricata etc. Nog geen vulnerabilities tegen gekomen.
Daarom vond ik het interessant om het principe van "formal verification" te ontdekken.
En als je het over firewalls hebt, dan is het zelfs mogelijk om dit direct in de hardware in te bakken met FPGA's.
(Wel vergt dit speciale kennis, iets dat niet ieder bedrijf of individu beschikbaar heeft.)
Hier ook OPNsense in combinatie met wat security tools zoals Q-Feeds, Suricata etc. Nog geen vulnerabilities tegen gekomen.
Zie je ze niet, omdat ze er niet zijn.. Of omdat ze niet gemeld worden of er iemand actief naar op zoek gaat en dit deelt? :')
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?