「FortiOS」のSSL VPN機能などに脆弱性 - アップデートがリリース

Fortinetは、現地時間5月3日にセキュリティアドバイザリをリリースし、9件の脆弱性を明らかにした。アップデートや回避策がアナウンスされている。

今回のアドバイザリでは、同社における5段階の評価において、もっとも高い「クリティカル（Critical）」とレーティングされた脆弱性はなかった。重要度が2番目に高い「高（High）」とされる脆弱性は「CVE-2023-22640」と「CVE-2023-27999」の2件。いずれも社内より報告を受けたものだという。

「CVE-2023-22640」は、「FortiOS」や「FortiProxy」の「SSL VPN」コンポーネントに明らかとなった脆弱性。域外のメモリに書き込み、細工したリクエストにより任意のコードを実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.5」としており、同社はアップデートを提供するとともに、更新できない場合は「SSL VPN」の構成においてホストやMACアドレスのチェック機能、OSの特定バージョンにアクセスを制限する機能などを無効化する回避策を実施するよう求めている。

また「FortiADC」には、コマンドインジェクションの脆弱性「CVE-2023-27999」が判明した。悪用には認証が必要となるが、不正なコマンドの実行が可能になるとしている。CVSS基本値を「7.8」としており、アップデートを用意した。

（Security NEXT - 2023/05/08 ） ツイート

PR

関連記事

新聞広告に誤った二次元コード、誘導先に個人情報 - 広島県
給付認定の通知書を誤送付、送付先リストを作成ミス - 福岡市
患者情報含むUSBメモリが所在不明 - 長崎みなとメディカルセンター
「nginx」に複数のクリティカル脆弱性 - 修正版が公開
システム設定で変更ミス、一部データが消失 - 厚労省
豆腐通販サイトで決済アプリ改ざん - 個人情報流出の可能性
「Splunk」向けのAI拡張ツールに複数の脆弱性
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
「Chrome」が脆弱性33件を修正 - 「クリティカル」7件
「Cortex XSOAR」「XSIAM」向け「CommvaultSecurityIQ」連携に脆弱性