Encore une alerte pour les administrateurs systèmes qui se servent de SSO (single sign-on) Forticloud pour authentifier l’accès aux produits Fortinet. Ils sont invités à mettre à jour dès que possible le logiciel qui fait fonctionner certaines passerelles, sous peine de voir leurs réseaux compromis. « Pour l’instant, ils doivent pour l'instant, désactiver le SSO jusqu'à ce qu'ils puissent corriger les équipements », a conseillé Johannes Ullrich, doyen de la recherche au SANS Institute. Cependant, à long terme, celui-ci estime que « ce n'est pas une raison pour abandonner le SSO, qui devrait être réactivé une fois le correctif appliqué. »

Les failles, référencées CVE-2025-59718 et CVE-2025-59719, sont des vulnérabilités de signature cryptographique identifiées dans le système d'exploitation FortiOS qui fait fonctionner les équipements Fortinet, ainsi que dans Fortiweb, Fortiproxy et Fortiswitchmanager. Elles donnent la possibilité à un attaquant non authentifié de contourner l'authentification unique de connexion Forticloud SSO via un message SAML (security assertion markup language) spécialement conçu, si cette fonctionnalité est activée sur l'appareil.

La fragilité du protocole SAML en question

Dans un avis, le fournisseur indique que la fonctionnalité de connexion Forticloud SSO n'est pas activée dans les configurations d'usine par défaut. Cependant, lorsqu'un administrateur enregistre l’équipement auprès du support produit Forticare à partir de l'interface utilisateur, l’authentification SSO est activée, sauf s'il désactive le paramètre « Autoriser la connexion administrative à l'aide de Forticloud SSO » sur la page d'enregistrement. Grâce à ce service, les utilisateurs saisissent un seul mot de passe pour accéder à de nombreuses applications ou services. Dans le cas présent, un administrateur peut superviser plusieurs équipements Fortinet. M. Ullrich la qualifie de « composant essentiel pour fournir une expérience d'authentification et de contrôle d'accès unifiée à l'échelle d'une entreprise. L'intégration de produits comme ceux proposés par Fortinet est importante, et il est généralement conseillé aux entreprises d'activer cette fonctionnalité. »

Il explique que Fortinet se sert de SAML comme protocole sous-jacent, précisant que « c'est un protocole complexe, et de nombreuses implémentations ont rencontré des problèmes par le passé. Hier encore, le jour même où Fortinet a corrigé ses systèmes, Ruby a publié un correctif pour sa bibliothèque SAML ». Il ajoute que les implémentations SAML souffrent souvent de problèmes liés à la complexité de l'analyse XML et aux ambiguïtés dans l'interprétation du résultat. Pour éviter d'être affecté par cette faille, Fortinet recommande aux administrateurs de désactiver la fonctionnalité de connexion Forticloud SSO (si elle est activée) jusqu'à la mise à niveau vers une version non affectée. Pour désactiver la connexion Forticloud, il suffit d'aller dans « Système -> Paramètres » (System -> Settings), puis de désactiver l'option « Autoriser la connexion administrative à l'aide de Forticloud SSO ». Les administrateurs peuvent également utiliser l'interface de ligne de commande et saisir :

config system global

set admin-forticloud-sso-login disable

end

Un point de défaillance unique

Les applications concernées doivent ensuite être mises à jour vers les dernières versions, puis la fonctionnalité SSO réactivée. Robert Beggs, directeur de l’entreprise canadienne DigitalDefence spécialisée dans la réponse aux incidents, rappelle que cette vulnérabilité avait été heureusement identifiée par l'équipe interne de Fortiguard. « Si elle avait été annoncée par un tiers, elle aurait probablement été activement exploitée dans la nature », a-t-il fait remarquer. « Il semble qu'elle ait été identifiée à temps pour émettre un avertissement et minimiser les compromissions potentielles », s’est-il félicité. « Le fait qu'une paire de vulnérabilités affecte plusieurs produits d'un fabricant montre l'inconvénient d'avoir une base de code commune pour leurs produits », a ajouté M. Beggs.

Certes, cela permet au fournisseur d'augmenter rapidement le nombre et les fonctionnalités de ses solutions et d'assurer leur fonctionnement intégré. Mais à l’inverse, la base de code devient un point de défaillance unique. Ces problèmes rencontrés par Fortiguard illustrent les deux faces de la médaille. « La vulnérabilité est critique et les équipes de sécurité doivent appliquer les mesures recommandées », a-t-il insisté.