米CISA、「AMI MegaRAC SPx」や「FortiOS」の既知脆弱性悪用を警告

米政府は、AMI製サーバ向けソフトウェアや「FortiOS」などの既知脆弱性が悪用されているとして注意喚起を行った。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では現地時間2025年6月25日、悪用されている脆弱性3件を「悪用が確認された脆弱性カタログ（KEV）」へ追加。米行政機関へ対応を求めるとともに注意を喚起した。

「CVE-2024-54085」は、遠隔管理や監視のため、一部エンタープライズ向けサーバ機器のBMC（Baseboard Management Controller）に搭載されているAMI製ソフトウェア「AMI MegaRAC SPx」に見つかった深刻な脆弱性。

2025年3月にセキュリティアドバイザリが公開されており、リモート管理に用いる「Redfish Host Interface」において認証をバイパスできる。共通脆弱性評価システム「CVSSv4.0」のベーススコアは、最高値の「10.0」と評価されている。

また「CVE-2019-6693」は、FortinetのUTM機器に搭載されている「FortiOS」の脆弱性。設定バックアップファイル内の機密データが、製品内にハードコードされた鍵で暗号化されており、悪用が確認されているという。

（Security NEXT - 2025/06/27 ）ツイート