「FortiOS」で複数脆弱性を解消 - 8月に緩和策講じたゼロデイ脆弱性も修正

Fortinetは現地時間2025年10月14日、「FortiOS」に関する複数の脆弱性を明らかにした。8月にゼロデイ脆弱性として発見し、「IPS」のシグネチャで防御していた脆弱性についても解消したという。

各社が定例のセキュリティアップデートを公開する米時間毎月第2火曜日、いわゆる「パッチチューズデー」にあわせ、「FortiOS」に関連するセキュリティアドバイザリ14件を公開したもの。

脆弱性によって影響を受けるバージョンなどは異なるが、これらアドバイザリであわせて15件の脆弱性へ対処している。重要度が4段階中もっとも高い「クリティカル（Critical）」とされるアドバイザリはなかった。

重要度が2番目に高い「高（High）」とされるアドバイザリは1件。特定機能の不適切なプロビジョニングに起因し、権限の昇格が生じる「CVE-2025-58325」が判明した。

ローカル環境のコマンドラインインタフェースよりシステムコマンドの実行が可能となる。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.2」と評価されている。

重要度が1段階低い「中（Medium）」とされる脆弱性は10件。なかでも「WebSocket」に判明したヒープオーバーフローの脆弱性「CVE-2025-22258」については、2025年8月にゼロデイ脆弱性として緩和策を講じていたが、アップデートで対処したことを明らかにした。

（Security NEXT - 2025/10/15 ）ツイート