「FortiOS」にXSSなど複数の脆弱性が判明

Fortinetは、同社セキュリティ製品に搭載されている「FortiOS」に関する2件の脆弱性を明らかにした。

各社が定例のセキュリティアップデートを公開する米時間毎月第2火曜日、いわゆる「パッチチューズデー」にあたる現地時間7月9日にアドバイザリ2件を公開したもの。「FortiOS」にくわえて「FortiProxy」もこれら脆弱性の影響を受ける。

具体的には「SSL VPN」のウェブユーザーインタフェースに、クロスサイトスクリプティング（XSS）の脆弱性「CVE-2024-26006」が判明した。標的とする利用者に悪意あるページのブックマークを行わせ、アクセスさせることで攻撃が可能になるという。

またIPアドレス検証機能に不備があり、細工したリクエストによって「IPアドレス」のブロックリストをバイパスできる「CVE-2024-26015」が明らかとなった。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、「CVE-2024-26006」を「7.5」、「CVE-2024-26015」を「3.4」と評価している。

（Security NEXT - 2024/07/10 ）ツイート