U.S. CISA adds Fortinet FortiOS to its Known Exploited Vulnerabilities catalog
2025/01/15 SecurityAffairs — 2025年1月14日 に米国の CISA は、Fortinet FortiOS に存在する認証バイパスの脆弱性 CVE-2024-55591 (CVSS：9.6) を、KEV (Known Exploited Vulnerabilities) カタログに追加した。この脆弱性の悪用に成功したリモートの攻撃者は、認証をバイパスし、細工した Node.js WebSocket リクエストを介して、管理者権限を取得する可能性を手にする。すでに Fortinet は、この脆弱性が実環境において悪用されていることを認めている。
Fortinet のアドバイザリには、「FortiOS および FortiProxy の代替パス／チャネルを悪用する、認証バイパスの脆弱性 CVE-2024-55591 (CWE-288) が発見された。この脆弱性の悪用に成功したリモートの攻撃者は、細工した Node.js WebSocket モジュールへのリクエストを介して、管理者権限を取得する可能性を得る」と記されている。
この脆弱性が影響を及ぼす製品バージョンは、FortiOS (7.0.0～7.0.16)／FortiProxy (7.0.0～7.0.19／7.2.0～7.2.12) である。
2025年1月14日には、以下の３つの脆弱性も KEV カタログに追加されている。
- CVE-2025-21333： Microsoft Windows Hyper-V NT Kernel Integration VSP のヒープバッファ・オーバーフロー脆弱性
- CVE-2025-21334／CVE-2025-21335：Microsoft Windows Hyper-V NT Kernel Integration VSP の Use-After-Free 脆弱性
拘束力のある運用指令 (BOD) 22-01：悪用された既知の脆弱性の重大なリスクの軽減のために、FCEB 機関は、カタログの欠陥を悪用する攻撃から、ネットワークを保護する必要がある。CISA は連邦政府機関に対して、2025年2月2日までに、この脆弱性を修正するよう命じている。
さらに専門家たちは、民間組織に対しても、この KEV カタログを確認し、インフラの脆弱性に対処することを推奨している。
Fortinet と Windows Hyper-V の脆弱性が、CISA KEV に登録されました。どちらの脆弱性も、公表の翌日には KEV に追加というスピードです。 よろしければ、以下のリンクをご参照ください。
2025/01/14：FortiOS／FortiProxy の脆弱性 CVE-2024-55591 の悪用を確認
2025/01/15：Hyper-V のゼロデイ脆弱性 CVE-2025-21333 などが FIX
IoT OT Security News 
You must be logged in to post a comment.