# Cặp đôi lỗ hổng nghiêm trọng tồn tại trong các sản phẩm của Fortinet Vừa qua, hãng Fortinet vừa cập nhật thêm thông tin về cặp đôi lỗ hổng nghiêm trọng **CVE-2025-59718** và **CVE-2025-59719** từng xuất hiện trước đó một tháng. ### Thông tin chi tiết Tóm tắt nhanh về hai lỗ hổng nghiêm trọng: * *Định danh lỗ hổng:* [`CVE-2025-59718`](https://www.cve.org/CVERecord?id=CVE-2025-59718) và [`CVE-2025-59719`](https://www.cve.org/CVERecord?id=CVE-2025-59719) * *Điểm CVSS(3.1):* **9.8** * *Mức độ nghiêm trọng:* **CRITICAL** - Cực kỳ nghiêm trọng * *Mô tả tóm tắt:* Hai lỗ hổng đều được sinh ra do quá trình kiểm tra chữ ký mật mã không đúng cách (improper verification of cryptographic signature) trong khi xử lý các thông điệp phản hồi SAML (SAML response message). Kẻ tấn công không xác thực (unauthenticated attacker) có thể lợi dụng và vượt qua cơ chế xác minh đăng nhập SSO trên FortiCloud thông qua các phản hồi SAML độc hại. * *Phiên bản bị ảnh hưởng:* | **Sản phẩm** | **Phiên bản bị ảnh hưởng** | **Khuyến nghị cập nhật** | | --- | --- | --- | | FortiOS 7.6 | 7.6.0 đến 7.6.3 | Cập nhật lên 7.6.4 hoặc mới hơn | | FortiOS 7.4 | 7.4.0 đến 7.4.8 | Cập nhật lên 7.4.9 hoặc mới hơn | | FortiOS 7.2 | 7.2.0 đến 7.2.11 | Cập nhật lên 7.2.12 hoặc mới hơn | | FortiOS 7.0 | 7.0.0 đến 7.0.17 | Cập nhật lên 7.0.18 hoặc mới hơn | | FortiProxy 7.6 | 7.6.0 đến 7.6.3 | Cập nhật lên 7.6.4 hoặc mới hơn | | FortiProxy 7.4 | 7.4.0 đến 7.4.10 | Cập nhật lên 7.4.11 hoặc mới hơn | | FortiProxy 7.2 | 7.2.0 đến 7.2.14 | Cập nhật lên 7.2.15 hoặc mới hơn | | FortiProxy 7.0 | 7.0.0 đến 7.0.21 | Cập nhật lên 7.0.22 hoặc mới hơn | | FortiSwitchManager 7.2 | 7.2.0 đến 7.2.6 | Cập nhật lên 7.2.7 hoặc mới hơn | | FortiSwitchManager 7.0 | 7.0.0 đến 7.0.5 | Cập nhật lên 7.0.6 hoặc mới hơn | | FortiWeb 8.0 | 8.0.0 | Cập nhật lên 8.0.1 hoặc mới hơn | | FortiWeb 7.6 | 7.6.0 đến 7.6.4 | Cập nhật lên 7.6.5 hoặc mới hơn | | FortiWeb 7.4 | 7.4.0 đến 7.4.9 | Cập nhật lên 7.4.10 hoặc mới hơn | Mặc dù tính năng đăng nhập FortiCloud SSO không được bật mặc định trong phần cài đặt của các sản phẩm trên. Tuy nhiên, khi quản trị viên đăng ký thiết bị những thiết bị có trong hệ thống với FortiCare từ giao diện GUI, tính năng này sẽ tự động được kích hoạt trừ khi quản trị viên chủ động tắt tuỳ chọn “Allow administrative login using FortiCloud SSO” trong trang đăng ký. Tuy vậy, theo thống kê mới nhất của Shadowserver, hiện số lượng các thiết bị có sử dụng FortiCloud SSO được kết nối với mạng internet trên toàn cầu là hơn 11.000 thiết bị. Con số này được cho là đã giảm hơn một nửa so với giữa tháng 12 năm 2025 khi số lượng thiết bị mà tổ chức này thống kê được là 25.000 thiết bị. ![https://www.bleepstatic.com/images/news/u/1109292/2025/Fortinet-SSO-online-exposure.png](https://www.bleepstatic.com/images/news/u/1109292/2025/Fortinet-SSO-online-exposure.png align="left") Đáng chú ý, đội ngũ các chuyên gia an ninh mạng của Fortinet những ngày vừa qua đã ra cảnh báo về một khả năng xuất hiện các cuộc tấn công mới, nhắm vào các thiết bị đã được cập nhật lên phiên bản mới nhất từ thời điểm sau phát hành bản vá. Nguyên nhân xuất phát từ một số các khách hàng của Fortinet đã báo cáo nhiều hành vi đăng nhập bất thường có lợi dụng khai thác FortiCloude SSO, hãng cũng cho biết một số cuộc tấn công đã thành công vượt qua được lớp xác thực bảo mật này, đồng thời cũng cho biết sẽ sớm đưa ra giải pháp khắc phục và bản vá thích ứng. ### Khuyến nghị & Khắc phục Đứng trước mối nguy mà cặp đôi lỗ hổng nghiêm trọng này mang lại, Fortinet khuyến nghị người dùng và các quản trị viên hệ thống cần: 1. **Cập nhật thông tin mới nhất từ Fortinet:** Cập nhật các thông báo, bài viết chính thức có liên quan tới cặp lỗ hổng này trên trang chủ của Fortinet. Mặt khác, tiến hành cập nhật bản vá mới nhất cho các sản phẩm đang sử dụng. 2. **Giới hạn quyền truy cập quản trị:** Tiến hành vô hiệu hoá quản trị thiết bị thông qua Internet với phương pháp tối ưu nhất là truy cập ngoài băng tần (out-of-band access). Nếu không thể thực hiện và triển khai phương án này, người dùng và quản trị viên nên áp dụng chính sách local-in để giới hạn các địa chỉ IP được phép truy cập vào giao diện quản trị. Gợi ý rule mẫu có thể được áp dụng: ```bash config firewall address edit "10.10.10.0" set subnet 10.10.10.0 255.255.255.0 next end config firewall local-in-policy edit 1 set intf "port1" set srcaddr "10.10.10.0" set dstaddr "all" set service "HTTPS" set schedule "always" set action accept next end ``` 3. **Vô hiệu hoá đăng nhập bằng FortiCloud SSO:** Người dùng và quản trị viên có thể lựa chọn vô hiệu hoá tính năng đăng nhập bằng FortiCloud SSO. Tuy nhiên đây chỉ là biện pháp tạm thời, không thể phát huy hiệu quả nếu như không kết hợp với áp dụng chính sách local-in được đề cập ở trên. * Vô hiệu hoá thông qua giao diện GUI: Truy cập **System** -> **Settings** -> **Switch** và chuyển mục "Allow administrative login using FortiCloud SSO" sang **Off**. * Vô hiệu hoá thông qua giao diện CLI: ```bash config system global set admin-forticloud-sso-login disable end ``` 4. **Nếu phát hiện dấu hiệu xâm nhập, hãy coi hệ thống đã bị chiếm quyền và cần lập tức:** Cập nhật firmware mới nhất, khôi phục cấu hình sạch (rà soát kỹ các tài khoản/VPN lạ), thay đổi toàn bộ mật khẩu hệ thống (bao gồm cả tài khoản LDAP/AD liên kết) và liên hệ với bộ phận bảo mật. ### IOCs Dưới đây là một số IOC phía Fortinet cung cấp làm cơ sở để phát hiện các cuộc tấn công: | **Phân loại** | **Chi tiết** | | --- | --- | | Tài khoản SSO khả nghi | `cloud-noc@mail.io`; `cloud-init@mail.io` | | Địa chỉ IP | `104.28.244.115`; `104.28.212.114`; `37.1.209.19`; `217.119.139.50` | | Tài khoản admin giả mạo | `audit`, `backup`, `itadmin`, `secadmin`, hoặc `support` | ### Tham khảo 1. [Multiple Fortinet Products' FortiCloud SSO Login Authentication Bypass](https://fortiguard.fortinet.com/psirt/FG-IR-25-647) 2. [Analysis of Single Sign-On Abuse on FortiOS](https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on-fortios)