آسیب‌پذیری SSO Bypass در FortiCloud (CVE-2026-24858) مدیریت ابری Fortinet را تهدید کرد

ماجرا چه بود؟

در ۴ مارس ۲۰۲۶، Fortinet یک بولتن امنیتی برای CVE-2026-24858 منتشر کرد — یک آسیب‌پذیری در فرآیند احراز هویت SSO پلتفرم FortiCloud. این پلتفرم رابط ابری مدیریت برای محصولات FortiGate، FortiAnalyzer، و FortiSwitch است که توسط هزاران سازمان در سراسر جهان استفاده می‌شود.

شکاف به مهاجم اجازه می‌داد با ارسال یک SAML response دستکاری‌شده، به‌جای کاربر دیگری وارد tenant شود. این به معنای دسترسی به همه‌ی فایروال‌ها، سوئیچ‌ها، و گزارش‌های آن سازمان است.

جزئیات فنی

ریشه‌ی آسیب‌پذیری در نحوه‌ی تأیید امضای SAML بود. در فرآیند تأیید، library مورد استفاده فقط یک node خاص از XML را verify می‌کرد، اما عناصر دیگر می‌توانستند بدون امضا اضافه شوند. مهاجم با ارسال یک SAML response که شامل یک Assertion امضا شده و یک Assertion غیرامضا (با نام کاربری ادمین قربانی) بود، می‌توانست SSO را فریب دهد.

این نوع آسیب‌پذیری به «SAML signature wrapping» معروف است و در سال‌های ۲۰۱۲ و ۲۰۱۶ نیز در پلتفرم‌های دیگر مشاهده شده بود.

تأثیر و واکنش

Fortinet در ۴ مارس وصله را به‌صورت hotfix server-side اعمال کرد، یعنی مشتریان نیازی به اقدام نداشتند. اما بررسی نشان داد که حداقل ۸ tenant بزرگ پیش از وصله compromise شده بودند. Fortinet به این مشتریان به‌طور مستقیم اطلاع داد و forensic مشترک انجام داد.

توصیه‌های امنیتی

• اگر FortiCloud استفاده می‌کنید، audit log را برای لاگین‌های غیرعادی در دو ماه گذشته بررسی کنید.
• فعالیت ادمین‌ها روی FortiGate و سایر دستگاه‌های مدیریت‌شده را برای تغییرات پیکربندی مشکوک بررسی کنید.
• IP allowlisting برای دسترسی به FortiCloud را در FortiCloud Premium فعال کنید.
• استفاده از MFA hardware (نه SMS) برای حساب‌های ادمین FortiCloud.
• در سطح کلی: SAML implementation های third-party را با ابزارهایی مثل samltest ارزیابی کنید.

منابع

• BleepingComputer