NCSC-2026-0300 [1.00] [M/H] Kwetsbaarheden verholpen in Fortinet FortiWeb

Fortinet heeft kwetsbaarheden verholpen in FortiWeb. De eerste kwetsbaarheid betreft een Improper Authentication in meerdere versies van FortiWeb, waardoor een externe, niet-geauthenticeerde aanvaller toegang kan krijgen tot de GUI- en CLI-interfaces door het indienen van willekeurige inloggegevens. Deze kwetsbaarheid treedt ook op bij FortiWeb-systemen die zijn geconfigureerd met Remote Radius Type Admin Authentication onder bepaalde niet-standaard instellingen. Hierdoor kan een aanvaller de authenticatiemechanismen omzeilen zonder geldige credentials, wat mogelijk leidt tot het verkrijgen van administratieve controle over het apparaat. De tweede kwetsbaarheid betreft een onvolledige disallowed input list (CWE-184) in FortiWeb WAF, waardoor niet-geauthenticeerde aanvallers toegang kunnen krijgen door specifieke verzoeken te maken die de bedoelde inputrestricties omzeilen. Dit kan de effectiviteit van de WAF-beveiligingsregels ondermijnen en leiden tot ongeautoriseerde toegang of acties die de WAF juist moet voorkomen.