「FortiOS」に複数脆弱性 - 一部で悪用報告も

Fortinetは、同社製品のOSとなる「FortiOS」に関する複数の脆弱性について明らかにした。一部脆弱性はすでに悪用の報告があるという。

各社が定例のセキュリティアップデートを公開する米時間毎月第2火曜日、いわゆる「パッチチューズデー」にあたる現地時間2025年1月14日に、同社では「FortiOS」に関するセキュリティアドバイザリ14件を公開。脆弱性17件について明らかにした。

「Node.js」のモジュールに起因し、認証のバイパスが可能となる脆弱性「CVE-2024-55591」については、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングした。

細工したリクエストによって管理者権限を取得でき、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」と評価されている。

「FortiOS 7.0」にくわえて、「FortiProxy 7.2」「同7.0」などが影響を受ける。実際に悪用が確認されており、同社は「IoC（Indicators of Compromise）」情報を公開するとともに緩和策をアナウンスしている。

（Security NEXT - 2025/01/15 ）ツイート