FortiCloud SSO-AuthentifizierungsschwachstelleBorns Tech- und Windows-Blog

Fortinet warnt Kunden vor kritischen Schwachstellen in der FortiCloud SSO-Anmeldeauthentifizierung. Es gibt zwei kritische Schwachstellen in FortiOS, FortiWeb, FortiProxy und FortiSwitchManager, die es Angreifern ermöglichen könnten, die FortiCloud SSO-Authentifizierung zu umgehen.

Fortinet verfügt ab dem 9. Dezember 2025 über Sicherheitsupdates zur Behebung zweier kritischer Schwachstellen in FortiOS, FortiWeb, FortiProxy und FortiSwitchManager. Dem Sicherheitsbericht zufolge handelt es sich bei den beiden Schwachstellen um:

• CVE-2025-59718: Eine unsachgemäße Validierung der kryptografischen Signaturschwachstelle in diesen Fortinet-Versionen ermöglicht es einem nicht authentifizierten Angreifer, die FortiCloud SSO-Anmeldeauthentifizierung über eine manipulierte SAML-Antwortnachricht zu umgehen.
• CVE-2025-59719: Eine unsachgemäße Validierung der kryptografischen Signaturschwachstelle in Fortinet FortiWeb 8.0.0, FortiWeb 7.6.0 bis 7.6.4 und FortiWeb 7.4.0 bis 7.4.9 könnte es einem nicht authentifizierten Angreifer ermöglichen, FortiCloud SSO über eine Nachricht zu umgehen.

CVE-2025-59718 betrifft FortiOS 7.6.0 bis 7.6.3, FortiOS 7.4.0 bis 7.4.8, FortiOS 7.2.0 bis 7.2.11, FortiOS 7.0.0 bis 7.0.17, FortiProxy 7.6.0.3 bis 7.6.0.3, FortiOS 7.6.0.3 bis 7.4.4. 7.4.10, FortiProxy 7.2.0 bis 7.2.14, FortiProxy 7.0.0 bis 7.0.21, FortiSwitchManager 7.2.0 bis 7.2.6, FortiSwitchManager 7.0.0 bis 7.0.5.

Allerdings heißt es in der von Fortinet veröffentlichten Sicherheitswarnung, dass die anfällige FortiCloud-Funktion standardmäßig nicht aktiviert ist, wenn das Gerät nicht bei FortiCare registriert ist. Bleeping Computer hat hier mehr dazu.