Fortinet、脆弱性40件を公表 - 重要度「クリティカル」も

Fortinetは、現地時間2月16日にセキュリティアップデートを公開し、複数の脆弱性に対処したことを明らかにした。重要度が「クリティカル（Critical）」とされる脆弱性も含まれる。

セキュリティアドバイザリを通じてあわせて40件の脆弱性を明らかにしたもの。アップデートのリリース時に脆弱性へ言及しておらず、修正より長時間経過しているものも含まれる。

「FortiOS」「FortiWeb」をはじめ、「FortiNAC」「FortiProxy」「FortiAnalyzer」「FortiADC」「FortiSandbox」「FortiPortal」「FortiWAN」「FortiAuthenticator」」「FortiSwitch」「FortiExtender」「FortiSwitchManager」が影響を受ける。

重要度がもっとも高い「クリティカル（Critical）」とされる脆弱性は「CVE-2022-39952」および「CVE-2021-42756」の2件。いずれも同社内のセキュリティチームが発見、報告したものだという。

「CVE-2022-39952」は、「FortiNAC」に明らかとなった脆弱性。ウェブサーバにおける「keyUploadスクリプトレット」においてファイル名やパスを操作し、認証なしに任意の書き込みを行うことが可能となる。共通脆弱性評価システム「CVSSv3.1」におけるベーススコアは「9.8」。

同脆弱性のCVE番号が採番されたのは2022年9月だが、その前月にあたる8月にリリースした「FortiNAC 9.4.1」「同9.2.6」「同9.1.8」のほか、「同7.2.0」にて修正を行ったとしている。

（Security NEXT - 2023/02/20 ） ツイート

PR

関連記事

患者情報含む医師私物PCが所在不明 - 順天堂大付属練馬病院
包装資材通販サイトの侵害、決済アプリ改ざんで個人情報流出の可能性
物価高騰対策のゴミ収集袋送付で不備、ラベル二重貼付 - 青梅市
海外法人が昨年末にランサム被害、年明け後判明 - 新光商事
都スタートアップ支援拠点のサイトが改ざん - 影響など詳細を調査
相次ぐ脆弱性の悪用、ゼロデイ攻撃も - 悪用リスト登録が週明け以降7件
「NVIDIA runx」に脆弱性 - サポート終了により修正予定なし
「SolarWinds WHD」に複数の深刻な脆弱性 - アップデートで修正
「Ivanti EPMM」にゼロデイ脆弱性、悪用確認 - パッチ適用や侵害調査を
ファンクラブ会員メールに他人氏名、事務局ミスで - 大阪ブルテオン