Các lỗ hổng đáng chú ý trên Fortinet, Ivanti và SAP

Vừa qua, hàng loạt các tên tuổi công nghệ lớn như Fortinet, Ivanti hay SAP đã phát hành bản vá khẩn cho những lỗ hổng nghiêm trọng đang tồn tại trong các sản phẩm của mình. Đây đều là những lỗ hổng nguy hiểm, cho phép kẻ tấn công vượt qua cơ chế xác thực (authentication bypass) và thực thi mã từ xa trên hệ thống bị ảnh hưởng.

---

Lỗ hổng của Fortinet

• Định danh lỗ hổng: CVE-2025-59718 và CVE-2025-59719

• Điểm CVSS(3.1): 9.8

• Mức độ nghiêm trọng: CRITICAL - Cực kỳ nghiêm trọng

• Mô tả: Theo Fortinet, hai lỗ hổng nghiêm trọng này sinh ra do quá trình xác minh chữ ký mật mã sai cách (improper verification of a cryptographic signature), cho phép kẻ tấn công ẩn danh thông qua một tệp SAML độc hại có thể vượt qua quá trình xác thực đăng nhập FortiCloud SSO, qua đó giành quyền truy cập quản trị vào FortiOS, FortiWeb, FortiProxy hay FortiSwitchManager.

• Phiên bản bị ảnh hưởng:

  • FortiOS: Các phiên bản từ 7.0.0 tới 7.0.17, từ 7.2.0 tới 7.2.11, từ 7.4.0 đến 7.4.8, từ 7.6.0 đến 7.6.3

  • FortiProxy: Các phiên bản từ 7.0.0 tới 7.0.21, từ 7.2.0 tới 7.2.14, từ 7.4.0 đến 7.4.10, từ 7.6.0 đến 7.6.3

  • FortiSwitchManager: Các phiên bản từ 7.0.0 tới 7.0.5, từ 7.2.0 tới 7.2.6

  • FortiWeb: Các phiên bản từ 7.4.0 đến 7.4.9, từ 7.6.0 đến 7.6.4 và phiên bản 8.0.0

• Khuyến nghị & Khắc phục: Người dùng và quản trị viên cần cập nhật phiên bản mới nhất đối với các sản phẩm bị ảnh hưởng. Đối với các trường hợp chưa thể thực hiện cập nhật hệ thống trong thời gian gần, tính năng đăng nhập FortiCloud cần được vô hiệu hoá (nếu chức năng này đang được bật) cho tới khi có thể cập nhật. Có hai cách để thực hiện vô hiệu hoá:

  • Truy cập mục System → Settings → Chuyển “Allow administrative login using FortiCloud SSO” sang Off.

  • Chạy lệnh sau trong CLI:

config system global
set admin-forticloud-sso-login disable
end

---

Lỗ hổng của Ivanti

• Định danh lỗ hổng: CVE-2025-10573

• Điểm CVSS(3.1): 9.6

• Mức độ nghiêm trọng: CRITICAL - Cực kỳ nghiêm trọng

• Mô tả: Theo Ivanti, lỗi Stored XSS trong Ivanti Endpoint Manager trước phiên bản 2024 SU SR1 cho phép kẻ tấn công ẩn danh từ xa quyền thực thi JavaScript tuỳ ý trong phiên đăng nhập của các quản trị viên.

Stored XSS là một loại lỗ hổng bảo mật web, trong đó mã độc (thường là JavaScript) được lưu trữ vĩnh viễn trên máy chủ, sau đó mã độc tự động được thực thi khi người dùng hợp lệ truy cập tới nội dung bị lây nhiễm. Đối với trường hợp này, kẻ tấn công có thể gửi một báo cáo chứa payload độc hại từ một thiết bị giả mạo tới dịch vụ web EPM chính, đánh lừa để máy chủ xử lý báo cáo nhận được và lưu trữ đoạn payload JavaScript vào các trường hiển thị thông tin thiết bị trên bảng điều khiển quản trị trong cơ sở dữ liệu. Một khi quản trị viên đăng nhập và xem các trường trên, trình duyệt của quản trị viên sẽ tự động tải và thực thi đoạn payload độc hại, cho phép tin tặc truy cập tới hệ thốn và thực thi mã ngay trong phiên đăng nhập của quản trị viên.

Ngoài ra, Ivanti cũng thông báo có 03 lỗ hổng khác với mức độ nghiêm trọng cao (High) cùng tồn tại trong sản phẩm Ivanti Endpoint Manager nhận được bản vá cùng với CVE-2025-10573, cho phép tin tặc ẩn danh có thể tấn công path traversal, ghi tệp tin trái phép và thực thi mã từ xa trên hệ thống, lần lượt là CVE-2025-13659, CVE-2025-13661 và CVE-2025-13662.

• Phiên bản bị ảnh hưởng: Ivanti Endpoint Manager phiên bản 2024 SU4 và các phiên bản trước đó

• Khắc phục & Khuyến nghị: Cập nhật phiên bản mới nhất Ivanti Endpoint Manager phiên bản 2024 SU SR1. Đối với các trường hợp chưa thể thực hiện việc cập nhật trong thời gian gần, hãng Ivanti khuyến nghị người dùng và các quản trị viên không công khai hệ thống ra mạng internet, đồng thời không thực hiện kết nối tới các máy chủ lạ hay cài đặt các tệp cấu hình không đáng tin cậy.

---

Lỗ hổng của SAP

SAP cũng không đứng ngoài “cuộc đua” lỗ hổng bảo mật nghiêm trọng khi hãng này vừa qua đã phát hành bản vá cho 14 lỗ hổng trên các sản phẩm của mình, trong đó có 03 lỗ hổng cực kỳ nhiêm trọng bao gồm:

• CVE-2025-42880 (điểm CVSS: 9.9) - Lỗ hổng tiêm mã (code injection) trong SAP Solution Manager

• CVE-2025-55754 (điểm CVSS: 9.6) - Nhiều lỗ hổng trong Apache Tomcat trong SAP Commerce Cloud

• CVE-2025-42928 (điểm CVSS: 9.1) - Lỗ hổng khử tuần tự hóa (deserialization) trong SAP jConnect SDK cho Sybase Adaptive Server Enterprise (ASE)

Với lỗ hổng liên quan tới code injection và deserialization, kẻ tấn công thường gửi payload độc hại được thiết kế để bị thực thi bởi thành phần xử lý (ví dụ gửi request chứa đối tượng tuần tự hóa độc hại đến jConnect hoặc gửi dữ liệu khiến SolMan thực thi lệnh), tài khoản có quyền thấp có thể được lợi dụng để chèn và thực thi mã trên hệ thống, đe doạ nghiêm trọng tính an toàn bảo mật thông tin, gây thiệt hại lớn đối với các tổ chức, doanh nghiệp bị tấn công.

Với các lỗi trong Apache Tomcat, kẻ tấn công có thể gây thực thi mã hoặc truy xuất file nếu Tomcat được phơi ra Internet. Tất cả các dạng này đều có thể được đưa vào chuỗi tấn công phức tạp: Tấn công từ xa → leo thang quyền → di chuyển ngang → thao tác dữ liệu/triển khai mã độc.

• Khắc phục & Khuyến nghị: Cập nhật phiên bản mới nhất trên các sản phẩm của SAP, đặc biệt là ba lỗ hổng cực kỳ nghiêm trọng nêu trên. Ngoài ra, người dùng và quản trị viên cần hạn chế việc phơi bày các dịch vụ web/Tomcat ra internet, bật MFA cho tài khoản quản trị SAP, phân quyền các tài khoản trên hệ thống, triển khai song song WAF, VPN kết hợp rà soát logs và giám sát bảo mật 24/7 cho các dịch vụ quan trọng.

---

Tham khảo

1. Multiple Fortinet Products' FortiCloud SSO Login Authentication Bypass

2. Security Advisory EPM December 2025 for EPM 2024

3. SAP Security Patch Day - December 2025