Fortinet FortiNAC の深刻な脆弱性 CVE-2023-33299 が FIX：RCE の可能性

Fortinet fixes critical FortiNAC RCE, install updates asap

2023/06/23 SecurityAffairs — Fortinet の Network Access Control (NAC) ソリューションである FortiNAC は、セキュリティポリシーの適用／デバイスの監視／アクセス権限の管理などにより、企業におおけるネットワークへのアクセスを安全に制御するためのものである。その FortiNAC で、未認証の攻撃者が任意のコード／コマンドを実行できる、深刻な脆弱性 CVE-2023-33299 (CVSS：9.6) が発見され、Fortinet によるセキュリティ・アップデートがリリースされた。

同社のアドバイザリには、「FortiNAC において、信頼できないデータのデシリアライズに起因する、脆弱性 CVE-2023-33299 [CWE-502] が発見された。未認証の攻撃者が、tcp/1050 サービスに対する特別に細工されたリクエストを経由して、コードやコマンドを実行する可能性が生じる」と記されている。

この脆弱性は、CODE WHITE の Florian Hauser により、Fortinet に報告された。

影響を受ける製品は以下の通りである：

FortiNAC version 9.4.0 through 9.4.2
FortiNAC version 9.2.0 through 9.2.7
FortiNAC version 9.1.0 through 9.1.9
FortiNAC version 7.2.0 through 7.2.1
FortiNAC 8.8 all versions
FortiNAC 8.7 all versions
FortiNAC 8.6 all versions
FortiNAC 8.5 all versions
FortiNAC 8.3 all versions

同社は、この問題に対処するため、以下のアップデートをリリースした：

Please upgrade to FortiNAC version 9.4.3 or above
Please upgrade to FortiNAC version 9.2.8 or above
Please upgrade to FortiNAC version 9.1.10 or above
Please upgrade to FortiNAC version 7.2.2 or above

きわめて深刻な脆弱性であるため、上記のバージョンを直ちにインストールすることが推奨されている。

FortiNAC の脆弱性に関しては、2023/02/17 に「Fortinet FortiNAC／FortiWeb の深刻な脆弱性が FIX：緩和策や回避策は存在しない」という記事がありました。よろしければ、Fortinet で検索も、ご利用ください。