「FortiOS」脆弱性や不正コード混入「Githubアクション」の悪用に注意喚起 - 米政府

米政府は、「FortiOS」や「tj-actions」が提供する「Githubアクション」に判明した脆弱性が悪用されているとして注意喚起を行った。

「悪用が確認された脆弱性カタログ（KEV）」へ悪用が確認されている2件の脆弱性を追加し、米国内の行政機関へ対策を促すとともに広く注意を呼びかけたもの。

「FortiOS」に関しては、「CVE-2025-24472」を追加。ランサムウェアの攻撃キャンペーンで悪用されているという。

Fortinetでは、1月にゼロデイ脆弱性「CVE-2024-55591」のセキュリティアドバイザリを公表したが、2月に同アドバイザリへ情報を追加するかたちで「CVE-2025-24472」を明らかにしていた。

代替パスやチャネルを使用した認証バイパスの脆弱性としており、細工したCSFプロキシ要求により管理者権限を取得できる。「FortiProxy」についても影響を受けるため、注意が必要。

（Security NEXT - 2025/03/19 ） ツイート

PR

関連記事

「React Native CLI」や「SmarterMail」の脆弱性悪用に警戒を - ランサムでも
AI連携に用いる「GitLab AI Gateway」に脆弱性 - 早急に更新を
Cisco、アドバイザリ5件を公開 - コラボアプリにDoSやRCE脆弱性
悪用リストに脆弱性4件登録 - サポートツールやPBXなど3製品
Synology製NASに脆弱性 - 3rdパーティ製ツールに起因、KEV登録済み
相次ぐ脆弱性の悪用、ゼロデイ攻撃も - 悪用リスト登録が週明け以降7件
「Ivanti EPMM」にゼロデイ脆弱性、悪用確認 - パッチ適用や侵害調査を
米当局、Fortinet製品のゼロデイ攻撃に対する侵害調査などを呼びかけ
複数Fortinet製品に脆弱性、すでに悪用も - 更新や侵害有無の確認を
悪用される「SmarterMail」脆弱性 - 侵害調査や最新ビルドへの更新を