포티넷, 포티웹 취약점 패치 공개…관리자 계정까지 위험할 수 있어 패치 적용 필수

포티넷(Fortinet)이 자사의 웹 애플리케이션 방화벽인 포티웹(FortiWeb)에서 인증우회할 수 있는 취약점을 패치했다. 이번 취약점은 원격 공격자가 관리자를 포함한 모든 사용자를 위장해 로그인할 수 있게 만드는 심각한 문제로, CVE-2025-52970으로 등록됐다. 패치는 이미 8월 12일 배포됐다.

보안 연구원 아비브 와이(Aviv Y)는 이 취약점을 ‘FortMajeure’라 명명했다. 그는 기술 분석에서 포티웹의 세션 쿠키 파싱 과정에서 발생하는 문제가 원인이라고 설명했다.

공개된 부분적 PoC(개념증명)는 REST 엔드포인트에서 관리자 계정을 위장하는 과정을 보여주고 있다. 다만 연구원은 관리자가 패치를 적용할 시간을 확보하도록 세부 정보를 늦게 공개하겠다고 밝혔다.

포티넷은 이번 문제를 “매개변수 처리 오류(CWE-233)”로 분류했다. 영향받는 버전은 FortiWeb 7.0~7.6이며, 아래 버전 이상으로 업그레이드해야 한다.

△FortiWeb 7.0.11 이상 △FortiWeb 7.2.11 이상 △FortiWeb 7.4.8 이상 △FortiWeb 7.6.4 이상.

또한 FortiWeb 8.0 버전은 영향을 받지 않는다. CVSS 점수는 7.7(높음)으로 평가됐는데, 이는 숫자 추측 과정이 “높은 공격 복잡성”으로 산정된 결과다. 하지만 실제로는 작은 범위를 브루트포스로 시도하는 것에 불과해 위험성이 과소평가됐다는 지적이 나온다.

포티넷은 이번 보안 공지에서 별도의 임시 대응책은 제시하지 않았다. 안전한 버전으로의 업그레이드가 유일한 권고 사항이다. 보안전문가들은 패치를 적용하기 전이라도 외부에서 관리 인터페이스에 접근하지 못하도록 차단하고, 관리 네트워크나 VPN을 통해서만 접근할 수 있도록 제한하는 것을 임시 조치로 제안하고 있다.

[2025 대한민국 사이버 보안 컨퍼런스: 보안담당자 초대-7시간 보안교육이수!]

(제13회 KCSCON 2025 / 구 PASCON)

※ Korea Cyber Security Conference 2025

-2025년 9월 16일(화) / 세종대 컨벤션센터 전관-

공공∙기업 정보보안 책임자/실무자 1,200여명 참석!

-2025년 하반기 최대 정보보호 컨퍼런스&전시회-

△주최: 데일리시큐

△일시: 2025년 9월 16일 화요일(오전9시~오후5시)

△장소: 세종대 컨벤션센터 전관

△참석대상: 공공기관·공기업·정부산하기관·금융기관·의료·교육·일반기업

개인정보보호 및 정보보호 담당자, IT담당자 등 1,500여 명

(기관 및 기업에서 정보보호 책임자/실무자만 참석 가능)