Fortinet heeft een beveiligingslek in FortiSandbox gedicht. Het gaat om een cross‑site scripting (XSS)-kwetsbaarheid. De fout ontstond doordat invoer niet goed werd geneutraliseerd bij het genereren van webpagina’s. Een aanvaller kan met slim samengestelde HTTP‑verzoeken en een overtuigende link of pagina kwaadaardige JavaScript-code laten uitvoeren in de context van de webapplicatie. Zo kan iemand acties uitvoeren namens de ingelogde gebruiker, sessies kapen en mogelijk de integriteit van gegevens aantasten.

Wat betekent dit in de praktijk?

• FortiSandbox is de malware­analyse-oplossing van Fortinet die bestanden en URL’s in een gecontroleerde omgeving uitprobeert. Juist omdat beheerders hier vaak ingelogd zijn, is een XSS‑lek risicovol: één klik op een kwaadaardige URL kan al genoeg zijn om rechten te misbruiken of sessiecookies buit te maken.
• De kwetsbaarheid heeft een CVE‑nummer: CVE‑2025‑54353. De CVSS‑score is 5.3 (medium). Er is geen authenticatie nodig om het lek te triggeren, maar wel gebruikersinteractie (klik op link). (app.opencve.io)

Getroffen en herstelde versies

• Getroffen: FortiSandbox 5.0.0 t/m 5.0.2, 4.4.0 t/m 4.4.7 en alle 4.2‑ en 4.0‑releases. (dbu.gs)
• Hersteld in: FortiSandbox 5.0.3 en 4.4.8 (beide releasenotes melden expliciet de fix voor CVE‑2025‑54353). (fortinetweb.s3.amazonaws.com)
• FortiSandbox Cloud is door Fortinet aan de serverzijde aangepast; klanten hoeven daar geen actie voor te ondernemen. (app.opencve.io)
• Publicatie van de kwetsbaarheidsdetails: 9 december 2025. (dbu.gs)

Breder beeld
De Nederlandse NCSC bundelde dit jaar meerdere FortiSandbox‑kwetsbaarheden (waaronder diverse XSS‑varianten) en riep organisaties op snel te updaten. Dat onderstreept het structurele risico van beheerinterfaces die via het web bereikbaar zijn. (advisories.ncsc.nl)

Aanbevolen maatregelen

• Update nu: naar 5.0.3 (of hoger) of 4.4.8 (of hoger). Controleer of je daadwerkelijk op het niet‑kwetsbare build zit. (fortinetweb.s3.amazonaws.com)
• Beperk toegang: zet de FortiSandbox‑beheerinterface niet open naar het internet. Sta alleen interne adressen of een VPN toe.
• Verplicht sterke authenticatie: minimaal MFA voor alle beheerders.
• Hardening tegen XSS‑misbruik: overweeg een reverse proxy met een strikte Content Security Policy (CSP) en X‑Frame‑Options voor de beheer‑URL’s.
• Schoonmaak en controle na patchen:
  • Forceer een uitlog (invalidateer actieve sessies) en laat admins opnieuw inloggen.
  • Roteer API‑tokens en controleer of er geen nieuwe beheeraccounts zijn aangemaakt.
  • Doorzoek logs op verdachte URL‑parameters of ongebruikelijke admin‑acties rond 9 december 2025 en daarna.
• Bewustwording: waarschuw beheerders voor spear‑phishing met “administratie‑links” naar de FortiSandbox‑omgeving.

Kort gezegd: het risico is goed beheersbaar als je snel patcht en je beheerinterface niet publiek toegankelijk is. Maar omdat één klik al genoeg kan zijn om misbruik te maken van een bestaande sessie, is snelheid nu belangrijk.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.