Hackers exploit newly patched Fortinet auth bypass flaws

Exploitation de failles Fortinet

Des attaquants exploitent des vulnérabilités critiques dans plusieurs produits Fortinet pour obtenir un accès non autorisé aux comptes d’administration et voler des fichiers de configuration système. Ces vulnérabilités, identifiées comme CVE-2025-59718 et CVE-2025-59719, affectent les produits FortiOS, FortiProxy, FortiSwitchManager et FortiWeb. Elles permettent à un attaquant de contourner l’authentification via des messages SAML falsifiés lorsque la fonctionnalité FortiCloud SSO est activée. L’activation de FortiCloud SSO n’est pas la configuration par défaut, mais elle s’active automatiquement lors de l’enregistrement d’appareils via l’interface utilisateur FortiCare, sauf si elle est explicitement désactivée.

Les chercheurs ont observé des attaques exploitant ces failles dès le 12 décembre, avec des origines IP liées à The Constant Company, BL Networks et Kaopu Cloud HK. Après avoir obtenu un accès administrateur, les attaquants téléchargent les fichiers de configuration système, qui peuvent révéler des informations sensibles sur le réseau, les services exposés, les politiques de pare-feu et les mots de passe hachés.

Points clés :

• Exploitation active de deux vulnérabilités de contournement d’authentification dans des produits Fortinet.
• Les attaquants ciblent les comptes d’administration pour obtenir un accès et exfiltrer des données de configuration.
• La fonctionnalité FortiCloud SSO, lorsqu’elle est activée, est le vecteur d’attaque principal.
• Les données exfiltrées peuvent faciliter des attaques futures.

Vulnérabilités :

• CVE-2025-59718 : Contournement d’authentification FortiCloud SSO affectant FortiOS, FortiProxy et FortiSwitchManager. Causé par une vérification incorrecte des signatures cryptographiques dans les messages SAML.
• CVE-2025-59719 : Contournement d’authentification FortiCloud SSO affectant FortiWeb. Causé par une validation similaire des signatures cryptographiques des messages SAML.

Recommandations :

• Désactiver temporairement la fonction de connexion FortiCloud SSO si vous utilisez une version vulnérable, jusqu’à ce qu’une mise à niveau soit possible. Cela se fait via System → Settings → “Allow administrative login using FortiCloud SSO” = Off.
• Mettre à jour vers les versions corrigées suivantes :
  • FortiOS : 7.6.4+, 7.4.9+, 7.2.12+, et 7.0.18+
  • FortiProxy : 7.6.4+, 7.4.11+, 7.2.15+, et 7.0.22+
  • FortiSwitchManager : 7.2.7+ et 7.0.6+
  • FortiWeb : 8.0.1+, 7.6.5+, et 7.4.10+
• En cas de compromission suspectée, faire pivoter immédiatement les identifiants du pare-feu.
• Restreindre l’accès à la gestion du pare-feu/VPN aux réseaux internes de confiance uniquement.

Source