Descripcion de la vulnerabilidad
CVE-2025-68686 es una vulnerabilidad de exposicion de informacion sensible (CWE-200) en el componente SSL-VPN de FortiOS. Permite a un atacante remoto no autenticado evadir un parche previamente aplicado que corrigia un mecanismo de persistencia por enlaces simbolicos (symlink) en el sistema de archivos del FortiGate.
Esta vulnerabilidad es de tipo post-explotacion: para aprovecharla, el atacante debe haber comprometido previamente el dispositivo a traves de otra vulnerabilidad que le otorgue acceso de lectura al sistema de archivos. Una vez logrado esto, puede mantener ese acceso incluso despues de que el administrador aplique las actualizaciones destinadas a eliminar los symlinks maliciosos.
En terminos practicos, esta falla es especialmente preocupante para organizaciones que fueron victimas de las campanas de explotacion de vulnerabilidades SSL-VPN anteriores (como CVE-2024-21762 o las de la serie CVE-2025-59718). Los atacantes que establecieron persistencia mediante symlinks pueden mantener acceso de lectura al sistema incluso tras aplicar los parches convencionales.
Productos y versiones afectadas
- FortiOS 7.6: 7.6.0 a 7.6.1
- FortiOS 7.4: 7.4.0 a 7.4.6
- FortiOS 7.2: todas las versiones (requiere migracion)
- FortiOS 7.0: todas las versiones (requiere migracion)
- FortiOS 6.4: todas las versiones (requiere migracion)
Sistemas no afectados: Equipos FortiGate que nunca tuvieron SSL-VPN habilitado no son vulnerables.
Impacto
El impacto principal es la fuga de informacion:
- Un atacante puede leer archivos del sistema operativo del FortiGate, incluyendo configuraciones, certificados y credenciales almacenadas
- La persistencia se mantiene a traves de actualizaciones de firmware, lo que dificulta la remediacion
- Aunque no permite ejecucion de codigo directamente, la informacion obtenida puede facilitar ataques posteriores mas graves
Solucion recomendada
Actualizar a las siguientes versiones o superiores:
- FortiOS 7.6: 7.6.2 o superior
- FortiOS 7.4: 7.4.7 o superior
- FortiOS 7.2 y anteriores: migrar a una rama con parche disponible (7.4.7+ o 7.6.2+)
Acciones adicionales criticas:
- Despues de actualizar, auditar el sistema de archivos en busca de enlaces simbolicos sospechosos en los directorios del SSL-VPN
- Revisar los logs de acceso SSL-VPN en busca de actividad anomala
- Si existe evidencia de compromiso previo, considerar un reset de fabrica y restauracion desde backup limpio
- Verificar que no existan cuentas de administrador no autorizadas
- Aplicar el virtual patch FG-VD-60389.0day disponible en FMWP db update 26.033 como medida temporal