Des vulnérabilités pourraient permettre à un attaquant de contourner la protection de connexion par authentification unique ; les utilisateurs doivent désactiver SSO jusqu’à ce que l’application des correctifs soit terminée.
Les administrateurs utilisant FortiCloud SSO (authentification unique) pour authentifier l’accès aux produits Fortinet sont invités à mettre à niveau le logiciel exécutant certains des produits de passerelle de l’entreprise dès que possible, sous peine de compromettre leurs réseaux.
« Les utilisateurs d’appliances Fortinet devraient, pour l’instant, désactiver le SSO jusqu’à ce qu’ils soient en mesure de patcher les appareils », a conseillé Johannes Ullrich, doyen de la recherche à l’Institut SANS. « Cependant, à long terme, ce n’est pas une raison pour abandonner le SSO, et il devrait être réactivé une fois le correctif appliqué. »
Les failles CVE-2025-59718 et CVE-2025-59719 sont des vulnérabilités de signature cryptographique dans le système d’exploitation FortiOS qui exécute les appareils Fortinet, ainsi que dans les produits FortiWeb, FortiProxy et FortiSwitchManager. Ils permettent à un attaquant non authentifié de contourner l’authentification de connexion FortiCloud SSO via un message SAML (security assertion markup language) contrefait, si cette fonctionnalité est activée sur l’appareil.
Dans un avis, Fortinet note que la fonctionnalité de connexion FortiCloud SSO n’est pas activée dans les configurations d’usine par défaut. Cependant, lorsqu’un administrateur enregistre l’appareil auprès du support produit FortiCare à partir de l’interface graphique de l’appareil, la connexion par authentification unique est activée à moins qu’il ne désactive le paramètre « Autoriser la connexion administrative à l’aide de FortiCloud SSO » sur la page d’enregistrement.
L’authentification unique permet aux utilisateurs de saisir un mot de passe pour accéder à de nombreuses applications ou services et, dans ce cas, elle permet à un administrateur de superviser plusieurs appareils Fortinet. Ullrich le considère comme « un élément crucial pour fournir une expérience unifiée d’authentification et de contrôle d’accès au sein d’une organisation. L’intégration de dispositifs tels que les offres de FortiNet est importante, et il est généralement conseillé aux organisations d’activer cette fonctionnalité ».
Fortinet utilise SAML comme protocole sous-jacent, a-t-il expliqué, notant : « Il s’agit d’un protocole complexe et de nombreuses implémentations de celui-ci ont rencontré des problèmes dans le passé. Hier encore, le jour même où Fortinet a corrigé ses systèmes, Ruby a publié un correctif pour sa bibliothèque SAML ».
Il a ajouté que les implémentations SAML souffrent souvent de problèmes en raison de la complexité de l’analyse XML et des ambiguïtés dans l’interprétation du résultat.
Pour éviter d’être affecté par cette faille, Fortinet indique que les administrateurs doivent désactiver la fonctionnalité de connexion FortiCloud SSO (si activée) jusqu’à la mise à niveau vers une version non affectée. Pour désactiver la connexion FortiCloud, il est indiqué, allez dans Système -> Paramètres, puis basculez « Autoriser la connexion administrative à l’aide de FortiCloud SSO » sur Désactivé. Alternativement, les administrateurs peuvent utiliser l’interface de ligne de commande et saisir :
Les applications concernées doivent ensuite être mises à jour vers les dernières versions et SSO réactivé.
Robert Beggs, responsable de la société canadienne de réponse aux incidents DigitalDefence, a déclaré qu’heureusement, la vulnérabilité avait été identifiée par l’équipe interne de FortiGuard. « Si cela avait été annoncé par un tiers, il s’agirait probablement d’une vulnérabilité activement exploitée dans la nature », a-t-il observé. « Il semble que cela ait pu être identifié à temps pour émettre un avertissement et minimiser les compromissions potentielles. »
Le fait qu’une paire de vulnérabilités affecte un certain nombre d’offres d’un fabricant montre l’inconvénient d’avoir une base de code partagée pour ses produits, a ajouté Beggs. Si, d’une part, cela permet au fournisseur d’augmenter rapidement le nombre et les fonctionnalités des produits et d’assurer un fonctionnement intégré, d’autre part, la base de code devient un point de défaillance unique. Ces problèmes liés à FortiGuard illustrent les deux faces de la médaille.
« La vulnérabilité est critique et les équipes de sécurité doivent appliquer les étapes recommandées », a-t-il déclaré.
Fortinet a été sollicité pour commentaires, mais n’a pas répondu au moment de la publication.
