Fortinet potwierdza prace nad rozwiązaniem luki w autoryzacji FortiCloud SSO

Fortinet oficjalnie potwierdził, że pracuje nad całkowitym usunięciem luki dotyczącej omijania autoryzacji FortiCloud SSO, po doniesieniach o nowej aktywności związanej z jej wykorzystaniem na w pełni załatanych zaporach ogniowych.

„W ciągu ostatnich 24 godzin zidentyfikowaliśmy wiele przypadków, w których exploit zaatakował urządzenie, które zostało w pełni zaktualizowane do najnowszej wersji w momencie ataku, co sugerowało nową ścieżkę ataku,” powiedział Carl Windsor, Dyrektor Bezpieczeństwa Informacji (CISO) w Fortinet, w poście opublikowanym w czwartek.

Aktywność ta w praktyce stanowi obejście poprawek wprowadzonych przez dostawcę rozwiązań bezpieczeństwa sieciowego, mających na celu rozwiązanie problemów oznaczonych jako CVE-2025-59718 oraz CVE-2025-59719. Te luki mogły umożliwić nieautoryzowane obejście logowania SSO poprzez spreparowane wiadomości SAML, jeśli funkcja FortiCloud SSO była włączona na dotkniętych urządzeniach. Problemy te zostały pierwotnie rozwiązane przez Fortinet w zeszłym miesiącu.

Jednak na początku tego tygodnia pojawiły się doniesienia o odnowionej aktywności, w której złośliwe logowania SSO na urządzeniach FortiGate były rejestrowane na koncie administratora na urządzeniach, które zostały załatane przeciwko podwójnym lukom. Aktywność ta jest podobna do incydentów zaobserwowanych w grudniu, krótko po ujawnieniu luk CVE-2025-59718 oraz CVE-2025-59719.

Aktywność obejmuje tworzenie ogólnych kont w celu osiągnięcia trwałości, wprowadzanie zmian w konfiguracji pozwalających na dostęp VPN do tych kont oraz eksfiltrację konfiguracji zapory do różnych adresów IP. Użytkownik atakujący był obserwowany podczas logowania się za pomocą kont o nazwach „cloud-noc@mail.io” oraz „cloud-init@mail.io.”

W celu złagodzenia zagrożenia firma zaleca podjęcie następujących działań:

• Ograniczenie dostępu administracyjnego do urządzeń brzegowych sieci poprzez stosowanie lokalnej polityki.
• Wyłączenie logowania FortiCloud SSO poprzez dezaktywację „admin-forticloud-sso-login.”

„Warto zauważyć, że chociaż na chwilę obecną zaobserwowano tylko wykorzystanie luki w FortiCloud SSO, problem ten dotyczy wszystkich implementacji SSO SAML,” dodał Fortinet.