-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### ######################## UPDATE 1.03 ############################# Titel : Kwetsbaarheden verholpen in Fortinet producten Advisory ID : NCSC-2025-0386 Versie : 1.03 Kans : high CVE ID : CVE-2024-47570, CVE-2025-59718, CVE-2025-59719, CVE-2025-62631, CVE-2025-64447, CVE-2025-64471 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high Improper Verification of Cryptographic Signature Insertion of Sensitive Information into Log File Insufficient Session Expiration Use of Password Hash Instead of Password for Authentication Reliance on Cookies without Validation and Integrity Checking Uitgiftedatum : 20260128 Toepassing : Fortinet FortiOS Fortinet FortiProxy Fortinet FortiSwitchManager Fortinet FortiWeb Versie(s) : Platform(s) : Update **update 28-01-26**: Bron CERT-AT bijgevoegd, bevat nieuwe IoC's voor onderzoek. Beschrijving Fortinet heeft kwetsbaarheden verholpen in FortiOS, FortiProxy, FortiWeb en FortiSwitchManager. De kwetsbaarheden stellen ongeauthenticeerde aanvallers in staat om toegang te krijgen tot de systemen door gebruik te maken van verschillende technieken, waaronder het omzeilen van FortiCloud SSO- login authenticatie via speciaal vervaardigde SAML-berichten, het behouden van actieve SSLVPN-sessies ondanks een wachtwoordwijziging, en het uitvoeren van ongeautoriseerde operaties via vervalste HTTP- of HTTPS-verzoeken. Dit kan leiden tot ongeautoriseerde toegang tot gevoelige API-gegevens en andere netwerkbronnen. **update 16-12-25**: Onderzoekers melden actief misbruik waar te nemen van de kwetsbaarheden met kenmerk CVE-2025-59718 en CVE-59719. Deze kwetsbaarheden stellen kwaadwillenden in staat om de Single Sign On te omzeilen en zo toegang te krijgen tot de kwetsbare systemen. De onderzoekers hebben Indicators of Compromise (IoC's) gepubliceerd om misbruik te kunnen onderzoeken. Het NCSC adviseert zo spoedig mogelijk de updates van Fortinet in te zetten, indien dit nog niet is gedaan, eventueel de mitigerende maatregelen in te zetten en middels de gepubliceerde IoC's te onderzoeken of misbruik heeft plaatsgevonden en op basis daarvan de administrator accounts het password van te roteren. Het NCSC adviseert aanvullend om te overwegen de open sessies van administrators te sluiten na inzet van de updates. Zie voor detailinformatie van de IoC's: https://arcticwolf.com/resources/blog/arctic-wolf-observes-malicious- sso-logins-following-disclosure-cve-2025-59718-cve-2025-59719/ **update 23-01-26**: De updates werken niet voldoende om te beschermen tegen de FortiCloud single sign-on (SSO) bypass kwetsbaarheden (CVE-2025-59718 en CVE-2025-59719). Er is misbruik van deze kwetsbaarheden waargenomen op systemen die de laatste updates hadden doorgevoerd. Zowel Fortinet als ArcticWolf hebben IoC's en mitigerende maatregelen ter beschikking gesteld. **update 28-01-26**: Bron CERT-AT bijgevoegd, bevat nieuwe IoC's voor onderzoek. Zie voor detailinformatie van de IoC's en mitigerende maatregelen: https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on- fortios & https://arcticwolf.com/resources/blog/arctic-wolf-observes- malicious-configuration-changes-fortinet-fortigate-devices-via-sso- accounts/ Mogelijke oplossingen Als mitigerende maatregel tegen de authenticatie-bypass kan FortiCloud SSO login worden uitgeschakeld. Fortinet heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie. Referenties: Reference https://arcticwolf.com/resources/blog/arctic-wolf-observes- malicious-configuration-changes-fortinet-fortigate-devices-via- sso-accounts/ Reference https://arcticwolf.com/resources/blog/arctic-wolf-observes- malicious-sso-logins-following-disclosure- cve-2025-59718-cve-2025-59719/ Reference https://fortiguard.fortinet.com/psirt/FG-IR-24-268 Reference https://fortiguard.fortinet.com/psirt/FG-IR-25-411 Reference https://fortiguard.fortinet.com/psirt/FG-IR-25-647 Reference https://fortiguard.fortinet.com/psirt/FG-IR-25-945 Reference https://fortiguard.fortinet.com/psirt/FG-IR-25-984 Reference https://www.cert.at/en/blog/2026/1/look-at-forticloud-sso-bypass- exploitation Reference https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse- on-fortios Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAml6L0oACgkQgupWoL0Z hGGusAv8CBuctXe/0ImJw0Ljw456bk+AQXgHK7PG9lCqyNm7qAuG9q9N9eqo9Yl6 tzOl9wyfFwnYiiVZxzGW5o8t5dO2+NxeD/IgEBtVAwvVZZFdEiGu6incgOJ9BnNt hYhOFVCqvrK2Fmcq0CHfcgrsVIiMzlMnJucguIJHCPeBQV9/8KoL88UxapXpBRgS jWlGbjZfs6eMKIrAzeEJNDKX1Ot3Vqj5B5gPyrlY1oUcHPvz64orCD/pJvdhWwH8 z0UGbwDg/GbblaaOst7j6AV/3jYJgkAseoXqDC3AjQmrR2kvwrrehaoAchx2JXxb 1qNKL+4H2DB1fJBOHrC/wvFwzZWwfMu/wspms3QPQEvoru+Yan/I0ibzWv1JTAuy UIabEMG57VcFQbov9QsWDY5jm9JZeHE9qxp2IwW9W50R8CN6KAeTf2XjVPmj3h5y G63NYI1mZS+x8xTp8Vxr7QbW5khYUluhqv13QsIPaxZkMbSgu/0sD4iKmTIA/rU0 Ucxcl4Hw =ToHv -----END PGP SIGNATURE-----