複数Fortinet製品に認証回避の深刻な脆弱性 - 影響確認と対策を

「FortiOS」をはじめ、複数のFortinet製品が影響を受ける深刻な脆弱性が明らかとなった。アップデートが提供されており、更新まで時間を要する場合は回避策を講じるよう呼びかけられている。

現地時間2025年12月9日にセキュリティアドバイザリを公開し、認証の回避が可能となる脆弱性2件「CVE-2025-59718」「CVE-2025-59719」について明らかにしたもの。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

同社がクラウドサービスとして提供するシングルサインオンサービス「FortiCloud SSO」との連携機能に判明した脆弱性だが、同機能を利用していない場合も、意図せず同機能が有効化されているおそれがあり、注意が必要だ。

署名の検証不備に起因する脆弱性で、細工したSAMLメッセージを用いることで認証のバイパスが可能だという。「FortiOS」はもちろん、「FortiWeb」「FortiProxy」「FortiSwitchManager」など同社複数製品が影響を受ける。

同社内部で発見されたとし、いずれも共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」と評価されている。

（Security NEXT - 2025/12/10 ）ツイート