「FortiOS」など複数製品の脆弱性を修正 - Fortinet
Fortinetは、セキュリティアドバイザリを公開し、「FortiOS」をはじめ、複数製品において脆弱性に対処したことを明らかにした。
各社が定例のセキュリティアップデートを公開する米時間毎月第2火曜日、いわゆる「パッチチューズデー」にあたる現地時間1月9日にセキュリティアドバイザリ5件をリリースしたもの。
同社による5段階の重要度において、もっとも高い「クリティカル(Critical)」とされる脆弱性は含まれていない。
上から2番目にあたる「高(High)」とされる脆弱性は「CVE-2023-44250」の1件。「FortiOS」および「FortiProxy」が影響を受ける。
「HAクラスタ」における権限管理の不備に起因する脆弱性で、認証されたユーザーが細工したHTTPリクエストを送信することで、権限の昇格が可能となる。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.8」。
「FortiOS 7.4.2」「同7.2.6」および「FortiProxy 7.4.2」にて同脆弱性を修正しており、同バージョン以降へ更新するよう求めている。またファームウェア仮想パッチについても2023年10月より提供しているという。
(Security NEXT - 2024/01/10 )
ツイート
関連リンク
- Fortinet:FortiOS & FortiProxy - Improper authorization for HA requests
- Fortinet:FortiPortal - Account creation outside initial IdP
- Fortinet:FortiPortal - Insufficient Access Control over API endpoints
- Fortinet:FortiVoice - Path traversal vulnerability in administrative interface
- Fortinet:FortiPAM - Lack of rate control to protect against DoS attacks
- Fortinet:OpenSSH Terrapin attack
- フォーティネットジャパン
PR
関連記事
県営住宅入居者の個人情報含む書類、強風で飛散 - 愛知県
個人情報含む道路占用届書をメール誤送信 - 国交省
フィッシング攻撃支援サブスクの関係者を一斉検挙 - 利用者は約1万人
国家関与のサイバー攻撃「ArcaneDoor」 - 初期侵入経路は不明、複数ゼロデイ脆弱性を悪用
「PAN-OS」の脆弱性侵害、段階ごとの対策を説明 - Palo Alto
MS 365アカウントに不正アクセス、個人情報流出の可能性 - セガ子会社
国内でも被害発生、「ColdFusion」の既知脆弱性狙う攻撃
バッファロー製ルータに脆弱性 - パスワード取得、コマンド実行のおそれ
米政府、悪用が確認された脆弱性3件について注意喚起
「Cisco ASA」「FTD」に複数脆弱性 - ゼロデイ攻撃も発生