Fortinet CLI 경로 순회(CVE-2025-61624): FortiOS·FortiPAM·FortiProxy·FortiSwitchManager 고권한 계정 임의 파일 쓰기·삭제 조건 점검

개요

Fortinet PSIRT 권고문 FG-IR-26-122에 따르면, FortiOS·FortiPAM·FortiProxy·FortiSwitchManager 네 제품의 명령행 해석기에는 경로 순회(Path Traversal, CWE-22) 결함이 존재합니다. 권한 있는 공격자는 기존 명령에 대해 특수하게 조작된 인자를 사용할 경우 임의 파일 쓰기 또는 삭제가 가능합니다. 권고문에 포함된 제품별 영향 및 수정 버전 정보는 해당 권고문을 직접 대조해야 합니다.

CISA KEV 카탈로그 등재 정보는 악용 조건을 더 구체화합니다. admin 프로필을 보유하고 최소 read-write 권한 이상을 가진 인증된 공격자에만 해당하며, 이미 알려진 환경에서 악용된 취약점(Confirmed Exploited)으로 관리됩니다. 제공된 근거에는 CVSS 점수 및 벤더 심각도 등급이 포함되어 있지 않아, 해당 수치는 Fortinet의 공식 권고문에서 직접 확인해야 합니다.

영향 범위

대상 제품과 구성 요소

• FortiOS, FortiPAM, FortiProxy, FortiSwitchManager
• 각 제품의 CLI(command line interpreter)에 접근 가능한 구성 요소

대상 환경

• admin 프로필과 최소 read-write 권한을 모두 보유한 인증된 공격자가 해당될 수 있는 환경, 즉 관리 CLI에 고권한 계정으로 접근이 허용된 환경
• 관리 CLI를 여러 인원이 공유하거나 위임하는 환경(조건부 판단: 계정 탈취나 내부 위협과 결합될 때 위험이 커질 수 있음)

잠재적 영향

• 인증된 고권한 공격자에 의한 임의 파일 쓰기
• 임의 파일 삭제로 인한 시스템 무결성 훼손 및 가용성 영향
• 파일 변조를 통한 추가 공격 기반 마련 가능성(구체적 후속 효과는 근거에서 확인되지 않아 조건부로만 판단)
• 관리 CLI 공유·위임 환경에서는 계정 탈취나 내부 위협 시 위험이 더 커질 수 있습니다(조건부 판단)

기술적 분석

결함 구조

Fortinet PSIRT에 따르면 네 제품의 CLI에서 경로 순회 결함이 존재하며, 권한 있는 공격자가 기존 명령에 대해 특수하게 조작된 인자를 전달하면 임의 파일 쓰기 또는 삭제가 가능합니다. 공격자는 새로운 공격 표면이 아니라 이미 존재하는 명령 자체를 악용합니다.

전제 조건: 고권한 인증 접근

공격 경로는 CLI 접근이 가능한 고권한 계정으로 시작합니다. CISA KEV 등재 정보는 이 조건을 admin 프로필과 최소 read-write 권한을 모두 보유한 인증된 공격자라는 결합된 권한 요건으로 확정합니다.

운영상 의미 (조건부 해석)

공격자가 이미 admin 프로필과 최소 read-write 권한을 갖춘 계정을 확보한 상태에서 이 취약점이 악용되면, 파일 시스템 무결성이 훼손되어 설정 변조나 증거 삭제로 이어질 수 있습니다. 다만 이 해석은 제공된 근거가 확인한 임의 파일 쓰기·삭제 가능성과 고권한 인증 조건을 넘지 않으며, 근거가 명시하지 않는 후속 영향(코드 실행, 지속성 확보 등)을 가정하지 않는 조건부 판단입니다. 실제 악용 사례의 구체적 공격 시나리오(어떤 조직, 어떤 경로)도 제공된 근거에서는 확인되지 않습니다.

악용 상태

• CISA KEV 등재로 실제 악용이 확인됨(confirmed exploitation)
• 악용은 admin 프로필과 read-write 이상 권한을 모두 가진 인증된 계정을 전제로 함
• 공개 PoC나 독립 기술 분석 자료는 제공된 근거에서 확인되지 않았습니다. 상세 익스플로잇 기법은 단정할 수 없으므로, 실제 공격 시나리오를 추측하지 않는 것이 원칙입니다.

한계점

• CVSS 점수 및 벤더 심각도 등급이 근거에 명시되지 않았습니다
• 공개 PoC 존재 여부와 상세 익스플로잇 기법은 확인되지 않았습니다
• 실제 악용 사례의 구체적 공격 시나리오는 근거에서 확인되지 않았습니다
• 파일 쓰기·삭제의 후속 영향(코드 실행, 지속성 확보 등)은 근거에 명시되지 않아 조건부 판단으로만 제시했습니다

대응 방안

수정 버전 적용

Fortinet의 공식 권고(FG-IR-26-122)에 따라 각 제품을 아래 수정 버전으로 업그레이드해야 합니다.

참고자료

• FG-IR-26-122: Path traversal vulnerability in FortiOS, FortiPAM, FortiProxy and FortiSwitchManager
• Known Exploited Vulnerabilities Catalog — CVE-2025-61624 (Fortinet Multiple Products Path Traversal Vulnerability)

함께 읽으면 좋은 글

• EA Javelin Anticheat 독립 설치 관리자의 로컬 권한 상승 취약점(CVE-2026-96542): Windows 서비스 권한 점검
• Apache Kylin 5.0.5 보안 업데이트: 인증 결함 CVE-2026-68573과 공용 노출 인스턴스 점검
• Metalama 공용 임시 디렉터리 DLL 플랜팅으로 로컬 코드 실행 가능(CVE-2026-62847)

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.