「FortiOS」脆弱性や不正コード混入「Githubアクション」の悪用に注意喚起 - 米政府

米政府は、「FortiOS」や「tj-actions」が提供する「Githubアクション」に判明した脆弱性が悪用されているとして注意喚起を行った。

「悪用が確認された脆弱性カタログ（KEV）」へ悪用が確認されている2件の脆弱性を追加し、米国内の行政機関へ対策を促すとともに広く注意を呼びかけたもの。

「FortiOS」に関しては、「CVE-2025-24472」を追加。ランサムウェアの攻撃キャンペーンで悪用されているという。

Fortinetでは、1月にゼロデイ脆弱性「CVE-2024-55591」のセキュリティアドバイザリを公表したが、2月に同アドバイザリへ情報を追加するかたちで「CVE-2025-24472」を明らかにしていた。

代替パスやチャネルを使用した認証バイパスの脆弱性としており、細工したCSFプロキシ要求により管理者権限を取得できる。「FortiProxy」についても影響を受けるため、注意が必要。

（Security NEXT - 2025/03/19 ） ツイート

PR

関連記事

「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱
「LiteLLM」に不正プログラム混入 - 認証情報漏洩やコード実行のおそれ
HPEの無線LAN向けOSに多数の脆弱性 - クリティカルが33件
侵入検知エンジン「Snort 3」に複数の脆弱性 - Cisco製品にも影響
Ciscoのビデオ会議製品に深刻な脆弱性 - 修正版が公開
「PHP」の深刻なRCE脆弱性「PHP2Shell」 - 悪用試行を観測
米当局、「PHP脆弱性」の即修正を勧告 - 困難ならオフラインに
Oracle、四半期定例パッチで1295件を修正 - 深刻な脆弱性も
「PHP」に複数の深刻な脆弱性 - 21日に修正版を公開予定
「Plex Media Server」など6件、悪用済み脆弱性に注意喚起 - 米CISA