CVE-2025-62826: CRLF-fejl i FortiOS og FortiProxy
Fortinet retter fejl i FortiOS og FortiProxy, hvor angribere med adgang til nettrafikken kan indsætte falske HTTP-headere i login til gæstenetværk. Opdatér til 7.6.5.
Hvad er det?
CVE-2025-62826 er en fejl i FortiOS og FortiProxy, hvor systemet ikke renser tegnene CR og LF (linjeskift-tegn) korrekt i HTTP-headere. Fejlen kaldes teknisk HTTP Response Splitting og gør det muligt at snige ekstra headere ind i et svar fra serveren. I dette tilfælde sker det i forbindelse med captive portal, den login-side man ofte møder på gæste-wifi eller offentlige netværk, når man skal godkende sig selv, før man får internetadgang. En angriber, der kan opsnappe og ændre en brugers login-forespørgsel til captive portal, kan indsætte vilkårlige headere via forfalskede HTTP-forespørgsler.
Hvem rammer det?
Sårbarheden findes i FortiOS og FortiProxy fra version 7.2.0 og frem til, men ikke inklusive, 7.6.5. Det gælder alle 7.2- og 7.4-versioner samt 7.6.0 til 7.6.4. Det rammer specifikt organisationer, der bruger captive portal-godkendelse, altså login-sider til gæstenetværk, konferencerum eller offentligt tilgængeligt wifi via en FortiGate eller FortiProxy-enhed.
Hvad kan ske?
En angriber, der befinder sig på samme netværk og kan opsnappe og manipulere trafikken mellem en bruger og captive portal, kan indsætte falske HTTP-headere. I praksis kan det bruges til at omdirigere brugere til en anden side, sætte falske cookies eller på anden måde forstyrre login-processen. For en dansk virksomhed med gæste-wifi i receptionen eller mødelokaler betyder det en risiko for, at besøgende kan blive udsat for phishing eller omdirigering, hvis en angriber først har fået fodfæste på netværket.
Hvor alvorligt er det?
CVSS-scoren er 3,1 ud af 10, hvilket er lav risiko. Angrebet kræver høj kompleksitet (AC:H), fordi angriberen skal kunne opsnappe og ændre trafikken, altså sidde i en form for mellemmandsposition på netværket. Det kræver ikke login (PR:N), men kræver at brugeren interagerer med login-siden (UI:R). Fortroligheden påvirkes ikke, integriteten påvirkes i lav grad, og tilgængeligheden påvirkes ikke. Der er ikke oplysninger om aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen.
Hvad gør jeg nu?
Sårbarheden er lukket i en opdatering fra Fortinet. Gør følgende:
- Opdatér FortiOS og FortiProxy til version 7.6.5 eller nyere, hvor fejlen er rettet.
- Undersøg om jeres opsætning bruger captive portal-godkendelse, for eksempel til gæste-wifi eller besøgscentre.
- Sørg for at captive portal-trafik kører over HTTPS, så det bliver sværere for en angriber at opsnappe og ændre forespørgsler.
- Gennemgå adgangen til det netværkssegment, hvor captive portal tilbydes, og begræns fysisk og logisk adgang, hvor det er muligt.
- Hold øje med logfiler for unormal omdirigering eller ukendte headere i captive portal-trafik.
- Har I ikke ressourcer eller erfaring til at vurdere jeres FortiOS-opsætning, kan I kontakte Auroa for hjælp til opdatering og risikovurdering.
Opdatér ved næste vedligeholdelsesvindue
Vi anbefaler, at I opdaterer til FortiOS eller FortiProxy 7.6.5 i forbindelse med jeres almindelige vedligeholdelsesvindue. Da sårbarheden kræver, at en angriber allerede kan opsnappe og manipulere netværkstrafik, er den akutte risiko lav for de fleste virksomheder. Det er derfor i orden at planlægge opdateringen som en almindelig softwareopdatering, frem for at bryde driften akut, forudsat at der ikke er andre indikationer på kompromittering af jeres netværk.
Tidslinje
Konkrete eksempler
Gæstenetværk i receptionen
En dansk virksomhed tilbyder gæste-wifi via en FortiGate-enhed med captive portal-login i receptionen. En angriber, der har fået adgang til det samme lokale netværk, opsnapper login-forespørgslen fra en besøgende og indsætter falske headere, som omdirigerer brugeren til en efterligning af login-siden. Den besøgende indtaster derved sine oplysninger på en falsk side, uden at virksomheden opdager det med det samme.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er potentielt ramt, hvis I bruger FortiOS eller FortiProxy i version 7.2.0 til og med 7.6.4, og hvis I anvender captive portal-godkendelse, for eksempel til gæste-wifi. Kontrollér jeres nuværende softwareversion i administrationskonsollen.
Hvordan tjekker vi vores version?
Log ind i FortiOS- eller FortiProxy-administrationsgrænsefladen og se systemoplysningerne, hvor den installerede version fremgår. Alternativt kan I bruge kommandoen ‘get system status’ via CLI.
Kan vi vente til weekenden med at opdatere?
Ja, det er som udgangspunkt i orden. Sårbarheden har lav risiko og kræver, at en angriber allerede kan opsnappe og ændre trafik på netværket. I bør dog planlægge opdateringen inden for jeres normale opdateringscyklus, og ikke skubbe den ubestemt.
Skal vi anmelde noget til Datatilsynet?
Nej, alene det, at sårbarheden findes, udløser ikke anmeldelsespligt. Har I konkrete tegn på, at persondata er blevet kompromitteret via denne sårbarhed, skal I vurdere sagen efter jeres normale procedure for databrud.
Hvad er captive portal, og hvorfor er det relevant her?
Captive portal er den login-side, man ofte møder, når man forbinder til gæste-wifi eller offentligt netværk, før man får fuld internetadgang. Sårbarheden ligger specifikt i den måde, denne login-proces håndterer HTTP-headere.
Kræver angrebet fysisk adgang til vores netværk?
Ikke nødvendigvis fysisk adgang, men angriberen skal kunne opsnappe og ændre trafikken mellem brugeren og captive portal, hvilket typisk kræver en position på samme netværk eller kontrol over en mellemliggende forbindelse.
Ramte produkter
Fortinet: Fortiproxy
≥ 7.2.0, < 7.6.5
Fortinet: Fortios
≥ 7.2.0, < 7.6.5
CVSS-detaljer
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
An Improper Neutralization of CRLF Sequences in HTTP Headers (‘HTTP Response Splitting’) vulnerability [CWE-113] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.4, FortiOS 7.4 all versions, FortiOS 7.2 all versions, FortiProxy 7.6.0 through 7.6.4, FortiProxy 7.4 all versions, FortiProxy 7.2 all versions may allow an attacker able to intercept and modify a user’s captive portal authentication request to inject arbitrary headers via crafted HTTP requests.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.