CVE-2025-62675: Header-fejl i Fortinet FortiOS og FortiProxy

Sårbarheden (CVE-2025-62675) findes i Fortinet FortiOS og FortiProxy og skyldes en fejl kaldet HTTP Response Splitting. Systemet renser ikke korrekt for CRLF-tegn, som er skjulte linjeskift-koder i en webadresse. En angriber, der allerede har fået et gyldigt webfilter-overstyringstoken, en kode der normalt bruges til at omgå webfilteret midlertidigt, kan bygge et link, som narrer FortiOS eller FortiProxy til at indsætte ekstra, uautoriserede linjer i HTTP-svaret. Det kræver, at en bruger klikker på det manipulerede link. Fejlen giver ikke angriberen adgang til data eller systemet i sig selv, men den kan bruges som byggesten i et mere målrettet angreb, for eksempel mod en medarbejders browser eller mellemliggende cache-servere.

Rammer Fortinet FortiOS version 7.2.0 til under 7.6.5 og Fortinet FortiProxy version 7.2.0 til under 7.6.5. Det gælder dermed alle 7.2- og 7.4-versioner samt 7.6.0 til 7.6.4. Er I på 7.6.5 eller nyere, er I ikke ramt. Relevant for virksomheder og kommuner, der bruger Fortinet som firewall, VPN-adgang eller webfilter til medarbejdernes internetadgang.

En angriber med et gyldigt overstyringstoken kan sende en medarbejder et link, der ser legitimt ud, for eksempel i en mail eller på en samarbejdsplatform. Klikker medarbejderen på linket, kan angriberen få FortiOS eller FortiProxy til at levere et manipuleret HTTP-svar med ekstra headere. Det kan i praksis bruges til at snyde browseren eller en mellemliggende cache til at vise forkert eller skadeligt indhold. Konsekvensen er i sig selv begrænset, men kan indgå som et trin i et phishing-angreb eller en session-manipulation.

CVSS-score er 3,4 ud af 10, lav risiko. Angrebet kræver høj kompleksitet, ingen forudgående login på selve systemet, men angriberen skal allerede være i besiddelse af et gyldigt webfilter-overstyringstoken, og en bruger skal aktivt klikke på et link. Der er ikke fortrolighed eller systemadgang på spil, kun en begrænset mulighed for at manipulere indhold. Der er ingen kendte tilfælde af udnyttelse.

Sårbarheden er lukket i den nyeste version, og det er det eneste, der reelt fjerner risikoen.

1. Opdatér FortiOS og FortiProxy til version 7.6.5 eller nyere ved næste planlagte vedligeholdelsesvindue.
2. Gennemgå, hvem der har adgang til at udstede webfilter-overstyringstokens, og begræns det til nødvendigt personale.
3. Informér medarbejdere om ikke at klikke på ukendte eller uventede links, selv fra interne systemer.
4. Tjek logfiler for usædvanlig brug af overstyringstokens i perioden op til opdateringen.
5. Kontakt Auroa eller jeres it-leverandør, hvis I ikke kan verificere jeres nuværende FortiOS/FortiProxy-version eller mangler ressourcer til opdateringen.