深入解析FortiOS路径遍历漏洞CVE-2022-41328：从复现到防御

1. 漏洞初探：CVE-2022-41328到底是什么？

如果你正在管理或使用FortiGate防火墙，那么最近一年你可能被一个编号为CVE-2022-41328的漏洞刷屏了。这个漏洞听起来有点技术化——“路径遍历”，但说白了，它就像是你家防盗门（防火墙）上的一道暗门。这道暗门本来不应该存在，但偏偏被留了下来，而且只有拿着特定钥匙（拥有一定权限）的人才能发现并打开它。一旦打开，攻击者就能绕过防火墙的层层防护，直接接触到它运行的核心系统——那个底层的Linux系统，想读什么文件就读什么，想写什么就写什么。

我刚开始接触这个漏洞时，也觉得有点懵。路径遍历？这不是Web开发里常提的漏洞吗，怎么跑到防火墙固件里来了？后来仔细研究才发现，问题出在FortiOS的命令行接口（CLI）里。FortiOS为了让管理员操作方便，提供了一系列强大的execute命令，可以用来执行一些底层诊断或维护任务。但恰恰是在处理这些命令的某些参数时，系统对用户输入的路径检查不够严格。攻击者可以通过构造像../../../etc/passwd这样的特殊路径，让系统错误地跳出原本设定的安全目录，访问到甚至修改系统上的任意文件。

这个漏洞的严重性在于，它不是一个可以从互联网上直接“轰开大门”的漏洞。它需要一个前提：攻击者已经以某种方式获得了防火墙的CLI访问权限，并且拥有一定的特权级别。你可能会想：“我都让人登录到管理界面了，那还不等于完蛋了？” 其实不然。在实际的网络攻防中，攻击链条往往很长。攻击者可能先通过钓鱼邮件控制了内网一台电脑，再逐步横向移动，最终拿到了一个拥有“只读”或“受限管理员”权限的账号。在传统的认知里，这种账号权限有限，做不了太多破坏。但CVE-2022-41328打破了这种认知，它让一个本应被“关在笼子里”的权限，拥有了“破笼而出”的能力，将影响从防火墙配置层面，直接提升到了底层操作系统层面。

根据官方公告和多家安全厂商的分析，这个漏洞影响范围相当广，涵盖了FortiOS 6.0、6.2的所有版本，以及6.4.0到6.4.11、7.0.0到7.0.9、7.2.0到7.2.3等多个主流版本。这意味着大量在线上运行的设备都处于风险之中。更值得注意的是，这个漏洞并非“纸上谈兵”，它已经被确认在野外（in the wild）被活跃利用。根据Mandiant等机构的报告，疑似有高级持续性威胁（APT）组织利用该漏洞，在入侵政府、科技公司网络后，将其作为后续渗透和驻留的跳板，危害极大。

2. 漏洞原理深挖：路径遍历是如何发生的？

要理解这个漏洞，我们得先看看FortiOS的架构。FortiGate设备本质上是一台运行着定制化Linux系统的硬件，FortiOS就是这个系统的“外壳”和“大脑”。它提供了Web管理界面和CLI（命令行界面）两种管理方式。CLI功能非常强大，其中有一类命令以execute开头，用于执行各种诊断和工具，比如execute ping、execute traceroute，以及更底层的execute backup、execute restore等。

漏洞的核心，就藏在这些execute命令处理文件路径的逻辑里。在正常的软件设计中，当程序需要根据用户输入访问某个文件时，必须严格校验这个路径是否在允许的范围内。比如，一个备份功能可能只允许操作/var/log/目录下的文件。如果用户输入/var/log/system.log，这是合法的；但如果他输入../../../etc/shadow，程序就应该果断拒绝，因为../意味着向上级目录回退，这很可能试图访问程序授权范围之外的文件。

然而，在受影响的FortiOS版本中，某些execute命令的路径校验逻辑存在缺陷。攻击者可以构造包含../序列的路径，实现目录遍历（Directory Traversal），也称为路径遍历（Path Traversal）。这就像是你告诉酒店的客房服务“请把餐车推到1001房间”，但他们没有核实你的身份和房间号，结果你一句“不对，是顶楼总统套房”，他们就真的把餐车推了上去。

让我们来看一个简化的、概念性的代码逻辑。假设存在一个用于读取日志文件的CLI命令，其伪代码可能如下：

void execute_read_log(char *user_input) {
    char base_path[] = "/var/log/fortios/";
    char full_path[256];

    // 危险的操作：直接将用户输入拼接到基础路径后
    snprintf(full_path, sizeof(full_path), "%s%s", base_path, user_input);

    FILE *fp = fopen(full_path, "r");
    // ... 读取文件内容并输出 ...
}

如果user_input是system.log，那么full_path就是/var