Fortinet製品の悪用済み脆弱性 - PoC公開でさらにリスク上昇
「FortiGate」をはじめ、Fortinet製品のOSとして採用されている「FortiOS」など、同社複数製品に深刻な脆弱性が明らかとなった問題で、脆弱性の実証コードが公開された。すでに悪用が確認されているが、今後さらに攻撃が増加することも予想され、早急な対応が求められる。
問題とされる脆弱性「CVE-2022-40684」は、「FortiOS」「FortiProxy」「FortiSwitchManager」において、管理インタフェースの認証をバイパスできる脆弱性。
Fortinetでは、共通脆弱性評価システム「CVSSv3.1」におけるベーススコアを「9.6」、重要度を5段階中もっとも高い「クリティカル(Critical)」とレーティングしている。
同社では現地時間10月10日にアドバイザリを公開し、脆弱性を解消するアップデートを提供するとともに回避策を紹介。すでに悪用が行われていることも明らかにし、脆弱性を解消するだけでなく、侵害状況についても確認するよう利用者へ呼びかけていた。
同脆弱性に関してはセキュリティベンダーのHorizon3.aiが、現地時間同月11日に対策として「REST API」におけるログの取得方法や侵害の確認方法を公開。あわせて実証コードの公開予告を行ったが、同月13日に実証コードとともに詳細な技術情報について発表した。
(Security NEXT - 2022/10/14 )
ツイート
関連リンク
- Fortinet:FortiOS/FortiProxy/FortiSwitchManager - Authentication bypass on administrative interface
- Fortinet製FortiOS、FortiProxyおよびFortiSwitchManagerの認証バイパスの脆弱性(CVE-2022-40684)に関する注意喚起
- Horizon3.ai:FortiOS, FortiProxy, and FortiSwitchManager Authentication Bypass IOCs
- フォーティネットジャパン
- JPCERTコーディネーションセンター
- Horizon3.ai
PR
関連記事
法人の不正送金被害が約8.6倍 - 金額ベースで個人を上回る
「IBM WebSphere Application Server」にRCE脆弱性 - 暫定パッチ公開
先週注目された記事(2025年6月22日〜2025年6月28日)
「MS Edge」にアップデート - 固有の脆弱性などにも対処
教員採用選考受検者の自己申告用紙が所在不明に - 新潟県
他県で実施した中学校自然教室で生徒名簿が所在不明に - 横浜市
誤った住所へ会員証を送付、システムトラブルで - JAF
Salesforceのローコード開発ツールに脆弱性 - 設定リスクの指摘も
構成管理ツール「Salt」に複数脆弱性 - 「クリティカル」も
MDMサーバから従業員情報流出、削除データも - ジブラルタ生保