「FortiOS」のVPN機能にあらたな脆弱性 - 既存アップデートで修正済み

「FortiOS」「FortiProxy」の「SSL VPN」機能にあらたな脆弱性「CVE-2023-33306」が明らかとなった。

Fortinetが現地時間6月16日にアドバイザリをリリースし、明らかにしたもの。同社では同月12日に「CVE-2023-27997」をはじめ、「FortiOS」に関する11件の脆弱性を公表しているが、異なる脆弱性としている。

NULLポインタデリファレンスの脆弱性で、悪用には認証が必要となるが細工したリクエストによって「SSL VPN」サービスがサービス拒否に陥るおそれがある。

同社は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.5」、重要度を5段階中、上から3番目にあたる「中（Medium）」とレーティングしている。

同脆弱性は、「同7.2.5」をはじめ、すでに提供されている「同7.0.11」や「同6.4.13」「FortiProxy 7.2.4」「同7.0.10」にて修正済みだという。また「FortiOS 7.4.0」は影響を受けない。

（Security NEXT - 2023/06/22 ）ツイート