「FortiOS」などセキュリティアドバイザリ6件を公開 - Fortinet

「FortiDDoS」におけるOSコマンドインジェクションの脆弱性「CVE-2022-27486」や、「FortiSOAR」においてプレイブックの通信におけるクロスサイトスクリプティング（XSS）の脆弱性「CVE-2023-26211」など明らかにし、アップデートを求めた。

「FortiAnalyzer」では、デバイス構成のバックアップ機能を悪用し、管理者パスワードを変更できる「CVE-2024-21757」も判明している。いずれも悪用には一定の権限が必要だという。

また別名「Blast-RADIUS」とも呼ばれ、中間者攻撃により認証を回避されるおそれがある「RADIUSプロトコル」の脆弱性「CVE-2024-3596」に関するアドバイザリも公開した。

「FortiOS」をはじめ、20製品で影響を調査中であると説明。緩和策として「RADIUS over TLS（RADSEC）」を使用するよう呼びかけている。

また「FortiClient」「FortiClientEMS」「FortiAP」については、「CVE-2024-3596」の影響を受けないことを確認した。

（Security NEXT - 2024/08/14 ）ツイート