Fortinet FortiOS 민감 정보 노출 및 심볼릭 링크 패치 우회 취약점 (CVE-2025-68686)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTFortinet FortiOS 7.6.0~7.6.1, 7.4.0~7.4.6, 7.2 전 버전, 7.0 전 버전, 6.4 전 버전
파일 시스템 수준의 선행 침투 권한을 가진 공격자가 특수하게 제작된 HTTP 요청을 통해 기존 심볼릭 링크 지속성 방어 패치를 우회하고 민감한 정보에 접근할 수 있습니다
Fortinet 공식 보안 권고(FG-IR-25-934)를 참조하여 취약점이 해결된 최신 펌웨어 버전으로 즉시 업그레이드하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND1. 공식 펌웨어 업데이트
Fortinet에서 제공하는 최신 패치 버전으로 펌웨어를 업그레이드하십시오. 각 메이저 버전별 권장 패치 버전은 Fortinet PSIRT 권고(FG-IR-25-934)를 준수해야 합니다.
2. 임시 완화 조치 및 모니터링
패치 적용 전까지 아래의 보안 통제 조치를 강화하십시오.
- 관리자 인터페이스 노출 최소화: HTTPS 관리 포트(기본 443)가 외부 인터넷에 직접 노출되지 않도록 방화벽 정책을 설정하고, 신뢰할 수 있는 특정 IP(IP ACL)에서만 접근할 수 있도록 제한하십시오.
- 로컬 파일 시스템 변경 감지: 시스템 무결성 모니터링을 통해 비정상적인 심볼릭 링크 생성이나 파일 시스템 변경 이벤트를 감시하십시오.
- 침해 지표(IoC) 분석: 웹 서버 로그에서 비정상적인 HTTP 요청 패턴이나 비인가된 관리자 페이지 접근 시도를 모니터링하십시오.
반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
본 취약점(CVE-2025-68686)은 Fortinet FortiOS에서 발생하는 민감 정보 노출(CWE-200) 취약점입니다.
이 취약점은 사후 침투(Post-Exploit) 단계에서 공격자가 시스템에 영구적으로 잔존하기 위해 사용하는 '심볼릭 링크 지속성 메커니즘(Symbolic Link Persistency Mechanism)'을 방어하기 위해 도입된 기존 패치를 우회할 수 있도록 허용합니다.
공격 메커니즘 및 전제 조건:
- 선행 권한 필요: 공격자는 먼저 다른 취약점을 악용하여 대상 장비의 파일 시스템 수준(Filesystem Level) 권한을 획득한 상태여야 합니다.
- 패치 우회: 권한을 확보한 공격자는 특수하게 제작된 HTTP 요청을 전송하여 기존에 적용된 심볼릭 링크 보호 조치를 우회하고, 시스템 내의 민감한 정보에 접근할 수 있게 됩니다.
본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용된 이력이 확인되었으며, EPSS 점수가 0.94(94%)에 달해 매우 신속한 대응이 요구됩니다.
공식 보안 권고문 및 참조 링크
An Exposure of Sensitive Information to an Unauthorized Actor vulnerability [CWE-200] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.1, FortiOS 7.4.0 through 7.4.6, FortiOS 7.2 all versions, FortiOS 7.0 all versions, FortiOS 6.4 all versions may allow a remote unauthenticated attacker to bypass the patch developed for the symbolic link persistency mechanism observed in some post-exploit cases, via crafted HTTP requests. An attacker would need first to have compromised the product via another vulnerability, at filesystem level.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.