Fortinet 警告：FortiGate／FortiProxy に新たな認証バイパスの脆弱性

Fortinet Warns of New Auth Bypass Flaw Affecting FortiGate and FortiProxy

2022/10/07 TheHackerNews — Fortinet は顧客に対して、FortiGate Firewall／FortiProxy web proxy に影響するセキュリティ脆弱性に関する非公開の警告を発した。この脆弱性の悪用に成功した攻撃者は、影響を受けるデバイス上で、不正なアクションを行う可能性があるという。

この脆弱性 CVE-2022-40684 (CVSS：9.6) の悪用は、認証バイパスにつながる可能性がある。この脆弱性により、認証されていない攻撃者が特別に細工された HTTP(S) リクエストを送信することで、管理インターフェース上で任意の操作が実行できるようになる。

脆弱性 CVE-2022-40684 は、以下のバージョンに影響し、今週にリリースされた FortiOS 7.0.7／7.2.2、 FortiProxy 7.0.7／7.2.1 で対処されている。

• FortiOS：7.0.0〜7.0.6／7.2.0〜7.2.1
• FortiProxy：7.0.0〜7.0.6／7.2.0

Gitworm というアカウント名で知られるセキュリティ研究者が、Twitter で 共有した Fortinet のアドバイザリには、「この脆弱性はリモートで悪用できるため、Fortinet は、脆弱性のあるバージョンを使用している全てのユーザーに対して、直ちにアップグレードを実行するよう強く推奨する」と記されている。

同社は、一時的な回避策として、アップグレードが完了するまで、インターネットに接続された HTTPS 管理機能の無効化を推奨している。あるいは、ファイアウォールのポリシーを適用し、local-in traffic にすることも挙げている。

Fortinet にコメントを求めると、この勧告の存在を認め、顧客が修正を適用するまで、公表を遅らせていることを明らかにした。

同社は、The Hacker News に公開した声明で、「顧客とのタイムリー／継続的なコミュニケーションは、顧客の組織を最大限に保護し、セキュリティを確保するための当社の取り組みにおいて重要な要素である。このような状況下において、当社は、顧客とのコミュニケーションを通じて、ユーザー組織を保護し、安全を確保するための最新のガイダンスや、推奨する次のステップを詳細に説明していく。顧客に対する事前の機密通知は、顧客におけるセキュリティ姿勢を強化を考慮し、勧告の早期警告を含むことがあり、その後に広範なリリースが行われる。顧客のセキュリティが、我々の最優先事項である」と述べている。

2022年の Fortinet の脆弱性は、7月6日の「Cisco／Fortinet 製品群の深刻な脆弱性 CVE-2022-20812／CVE-2022-26117 などが FIX」くらいですが、2021年9月の「Fortinet VPN アカウント 50万件が流出：脆弱性 CVE-2018-13379 に要注意」のときは、かなりの騒ぎになっていたという記憶があります。今回の脆弱性 CVE-2022-40684 ですが、そのような事にはならずに、速やかに収束すると良いですね。