-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### ######################## UPDATE 1.02 ############################# Titel : Kwetsbaarheden verholpen in Fortinet producten Advisory ID : NCSC-2025-0386 Versie : 1.02 Kans : high CVE ID : CVE-2024-47570, CVE-2025-59718, CVE-2025-59719, CVE-2025-62631, CVE-2025-64447, CVE-2025-64471 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high Improper Verification of Cryptographic Signature Insertion of Sensitive Information into Log File Insufficient Session Expiration Use of Password Hash Instead of Password for Authentication Reliance on Cookies without Validation and Integrity Checking Uitgiftedatum : 20260123 Toepassing : Fortinet FortiOS Fortinet FortiProxy Fortinet FortiSwitchManager Fortinet FortiWeb Versie(s) : Platform(s) : Update Er is misbruik van reeds bekende FortiCloud single sign-on (SSO) bypass (CVE-2025-59718 en CVE-2025-59719) waargenomen op systemen die de nieuwste versie van FortiOS draaien. Beschrijving Fortinet heeft kwetsbaarheden verholpen in FortiOS, FortiProxy, FortiWeb en FortiSwitchManager. De kwetsbaarheden stellen ongeauthenticeerde aanvallers in staat om toegang te krijgen tot de systemen door gebruik te maken van verschillende technieken, waaronder het omzeilen van FortiCloud SSO- login authenticatie via speciaal vervaardigde SAML-berichten, het behouden van actieve SSLVPN-sessies ondanks een wachtwoordwijziging, en het uitvoeren van ongeautoriseerde operaties via vervalste HTTP- of HTTPS-verzoeken. Dit kan leiden tot ongeautoriseerde toegang tot gevoelige API-gegevens en andere netwerkbronnen. **update 16-12-25**: Onderzoekers melden actief misbruik waar te nemen van de kwetsbaarheden met kenmerk CVE-2025-59718 en CVE-59719. Deze kwetsbaarheden stellen kwaadwillenden in staat om de Single Sign On te omzeilen en zo toegang te krijgen tot de kwetsbare systemen. De onderzoekers hebben Indicators of Compromise (IoC's) gepubliceerd om misbruik te kunnen onderzoeken. Het NCSC adviseert zo spoedig mogelijk de updates van Fortinet in te zetten, indien dit nog niet is gedaan, eventueel de mitigerende maatregelen in te zetten en middels de gepubliceerde IoC's te onderzoeken of misbruik heeft plaatsgevonden en op basis daarvan de administrator accounts het password van te roteren. Het NCSC adviseert aanvullend om te overwegen de open sessies van administrators te sluiten na inzet van de updates. Zie voor detailinformatie van de IoC's: https://arcticwolf.com/resources/blog/arctic-wolf-observes-malicious- sso-logins-following-disclosure-cve-2025-59718-cve-2025-59719/ **update 23-01-26**: De updates werken niet voldoende om te beschermen tegen de FortiCloud single sign-on (SSO) bypass kwetsbaarheden (CVE-2025-59718 en CVE-2025-59719). Er is misbruik van deze kwetsbaarheden waargenomen op systemen die de laatste updates hadden doorgevoerd. Zowel Fortinet als ArcticWolf hebben IoC's en mitigerende maatregelen ter beschikking gesteld. Zie voor detailinformatie van de IoC's en mitigerende maatregelen: https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on- fortios & https://arcticwolf.com/resources/blog/arctic-wolf-observes- malicious-configuration-changes-fortinet-fortigate-devices-via-sso- accounts/ Mogelijke oplossingen Als mitigerende maatregel tegen de authenticatie-bypass kan FortiCloud SSO login worden uitgeschakeld. Fortinet heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie. Referenties: Reference https://arcticwolf.com/resources/blog/arctic-wolf-observes- malicious-configuration-changes-fortinet-fortigate-devices-via- sso-accounts/ Reference https://arcticwolf.com/resources/blog/arctic-wolf-observes- malicious-sso-logins-following-disclosure- cve-2025-59718-cve-2025-59719/ Reference https://fortiguard.fortinet.com/psirt/FG-IR-24-268 Reference https://fortiguard.fortinet.com/psirt/FG-IR-25-411 Reference https://fortiguard.fortinet.com/psirt/FG-IR-25-647 Reference https://fortiguard.fortinet.com/psirt/FG-IR-25-945 Reference https://fortiguard.fortinet.com/psirt/FG-IR-25-984 Reference https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse- on-fortios Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmlzdZEACgkQgupWoL0Z hGFK4QwAoPdofdf1oHjGJ1wzCQf201IcmQXIEnjuSAsS2CbCUunVYlsiYyMviarE xVljYc0mAfa29FviJjni9yFO5TdWIfXmqycU0vZb0Gf94HaECMQye0gGvFGnWmoG lLehAPQAGXhPtyCueNVgJTBWm7GYn1BeYz9k61DPmeyv5zxPjAe89syPqGleGznN XONR1HFgW0Yv183f64wTK5dkNJ2H6o9rrjQVAmOoQ8Gg6sA/ip78NZ9Qs/KjVyVS ONXb5/iQuAv+P9CWazEzSEcrFzVEa4JtOj19EDWs6Te2YfSSAa3ft/tXCQQBb7Y8 T1PoZDrosbDKB6V0xXDI5M6b5uJZrLK5H9exj183CE4qimapfqxvQ708PmuvGuQ2 byMTBFS+AJ8R+lqIoNIH2onMfQoF+ZRfWbAzJVKo73XuzHzO/fOKfG1qan1q9fsQ 0KrTccFjfCPOyU/1FOeZs9ZQAym8uS40vRgMqJ61ZHPvGWFjppHlaDhLpe421XB5 zrkL6YYs =zO04 -----END PGP SIGNATURE-----