「FortiSwitch」に深刻な脆弱性 - 管理者PW変更のおそれ

Fortinetのスイッチ製品「FortiSwitch」に深刻な脆弱性が明らかとなった。脆弱性を修正するアップデートが提供されている。

各社が定例のセキュリティアップデートを公開する米時間毎月第2火曜日、いわゆる「パッチチューズデー」にあたる現地時間2025年4月8日にセキュリティアドバイザリをリリースしたもの。

パスワードの検証不備に起因し、権限の昇格が可能となる脆弱性「CVE-2024-48887」が確認された。グラフィカルインタフェースより細工されたリクエストを送信することで、認証を必要とすることなく管理者アカウントのパスワードを変更できるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同社は、同脆弱性を「FortiSwitch 7.6.1」「同7.4.5」「同7.2.9」「同7.0.11」「同6.4.15」にて修正した。

あわせて管理インタフェースにおける「HTTP/HTTPSアクセス」の無効化や、アクセスを信頼できるホストのみへと制限するなど緩和策をアナウンスしている。

（Security NEXT - 2025/04/09 ）ツイート