「FortiOS」ゼロデイ脆弱性 - 詳細や概念実証が公開

watchTowrは、今回判明した脆弱性「CVE-2024-55591」が、単純な認証のバイパスではないと指摘。

認証されたHTTPリクエストから「WebSocket接続」を作成できることや、セッションチェックをスキップできること、競合状態によりサーバーよりも先に認証を送信できる、認証にアクセスプロファイルが利用されるなど、複合的な問題より重大な脆弱性に結びついたと説明している。

同社はインスタンスにおいて脆弱な挙動を診断できるスクリプトを公開。脆弱なインスタンスが約5万件にのぼるとの指摘もあるとし、対象バージョンの利用者にパッチの適用など対策を講じるよう注意を呼びかけた。

さらに同社は、「CVE-2024-55591」に関する概念実証コード（PoC）を公開した。

今後さらに同脆弱性の悪用が増加するおそれもあり、脆弱性への対策漏れがないか、注意が必要となる。

（Security NEXT - 2025/01/30 ）ツイート