Fortinet je u utorak objavio zakrpe za 18 ranjivosti u svojim proizvodima, uključujući dvije greške koje hakerima mogu omogućiti da zaobiđu autentikaciju.
Označene kao CVE-2025-59718 i CVE-2025-59719 (CVSS ocjena 9.8), ove dvije greške opisane su kao problemi nepravilne provjere kriptografske potpise. Pogađaju FortiOS, FortiWeb, FortiProxy i FortiSwitchManager.
Prema Fortinetu, slabosti omogućavaju hakerima da pošalju posebno kreirane SAML odgovor-poruke ka ranjivim uređajima i zaobiđu FortiCloud SSO autentikaciju pri prijavi.
Ova funkcija, objašnjava Fortinet, nije omogućena u fabričkim podešavanjima, ali se automatski aktivira kada se novi uređaj registruje na FortiCare.
„Kada administrator registruje uređaj na FortiCare preko GUI okruženja, osim ako ručno ne isključi prekidač ‘Allow administrative login using FortiCloud SSO’ na stranici za registraciju, FortiCloud SSO prijava se automatski omogućava tokom procesa registracije,“ navodi kompanija u svom savjetu.
Greška je ispravljena u FortiOS verzijama 7.6.4, 7.4.9, 7.2.12 i 7.0.18, FortiProxy verzijama 7.6.4, 7.4.11, 7.2.15 i 7.0.22, FortiSwitchManager verzijama 7.2.7 i 7.0.6, kao i FortiWeb verzijama 8.0.1, 7.6.5 i 7.4.10.
Administratorima se savjetuje da privremeno onemoguće FortiCloud login funkciju dok ne primijene zakrpe za ove dvije bezbjednosne slabosti.
U utorak je Fortinet takođe objavio zakrpe za tri visokorizične ranjivosti u FortiWeb, FortiSandbox i FortiVoice proizvodima, koje mogu omogućiti hakerima da izvrše proizvoljne operacije ili neovlašćeni kod na sistemu, kao i da upišu proizvoljne fajlove.
Preostale zakrpe ove sedmice odnose se na ranjivosti srednjeg i niskog rizika u FortiWeb, FortiSOAR, FortiPortal, FortiOS, FortiProxy, FortiPAM, FortiSRA, FortiAuthenticator, FortiExtender API, FortiVoice, FortiSandbox, FortiManager i FortiAnalyzer proizvodima.
Fortinet ne navodi da je ijedna od ovih ranjivosti trenutno iskorišćena u divljini. Dodatne informacije dostupne su na stranici sa bezbjednosnim savjetima kompanije.
Izvor: SecurityWeek
