[하루한줄] CVE-2025-32756: Fortinet 제품들의 API에서 발생한 ITW Stack Buffer Overflow 취약점으로 인한 Unauthenticated RCE

URL

• CVE-2025-32756: Low-Rise Jeans are Back and so are Buffer Overflows

Target

배경지식

CVE-2025-32756는 admin.fe 엔드포인트에서 발생한 Stack Buffer Overflow 취약점으로 인증되지 않은 공격자가 원격으로 코드를 실행할 수 있으며 FortiVoice를 대상으로 실제 공격에 사용되었다고 합니다. 자세한 IoC는 아래 링크를 참조하세요.

• Stack-based buffer overflow vulnerability in API

취약점은 admin.fe 엔드포인트에 전달된 인자 중 AuthHash를 처리할 때 발생합니다.

size_t input_size;
size_t __size;
uchar *AuthHash;
uchar *Payload;
long output_buffer [2];
out_00 = (uchar *)malloc(__size);

iVar2 = __isoc99_sscanf(param_1,"Era=%1d&Payload=%m[^&]&AuthHash=%m[^&]&",&Era,&Payload, &AuthHash);

input_size = strlen((char *)AuthHash);
__size = strlen((char *)Payload);

iVar3 = EVP_DecodeUpdate(ctx,(uchar *)output_buffer,&output_size,AuthHash,(int)input_size);

iVar2 = EVP_DecodeUpdate(ctx,out_00,&local_94,Payload,iVar2);

AuthHash는 변수 이름처럼 해시 데이터가 저장되어 전송됩니다. AuthHash가 디코딩된 경과가 output_buffer라는 지역변수에 저장되며 크기는 16바이트 입니다. 따라서 디코딩된 결과가 16바이트 이상일 경우, Stack Buffer Overflow가 발생하게 됩니다.

패치는 다음과 같이 인풋의 사이즈가 0x1e보다 작은지 체크하는 방식으로 진행되었습니다.

size_t input_size;
size_t __size;
uchar *AuthHash;
uchar *Payload;
long output_buffer [2];
out_00 = (uchar *)malloc(__size);

iVar2 = __isoc99_sscanf(param_1,"Era=%1d&Payload=%m[^&]&AuthHash=%m[^&]&",&Era,&Payload, &AuthHash);

input_size = strlen((char *)AuthHash);
__size = strlen((char *)Payload);

input_size = strlen((char *)AuthHash);
if (input_size < 0x1e) {

iVar3 = EVP_DecodeUpdate(ctx,(uchar *)output_buffer,&output_size,AuthHash,(int)input_size);

iVar2 = EVP_DecodeUpdate(ctx,out_00,&local_94,Payload,iVar2);

Reference

• Stack-based buffer overflow vulnerability in API
• CVE-2025-32756-POC