Fortinet Addresses Security Issues in FortiSandbox, FortiOS, and Other Products
2025/03/13 gbhackers — Fortinet の PSIRT が発表したのは、FortiSandbox／FortiOS などの、各種の Fortinet 製品に影響を及ぼす、いくつかの高深刻度のセキュリティ脆弱性が解決されたという情報である。これらのアップデートは、ソリューションにおける安全性と信頼性を強化する、 Fortinet の継続的な取り組みの一環として実施される、潜在的な脅威に対する堅牢な防御の確保となる。
解決された問題の概要
合計で８件のアドバイザリがリリースされ、不正認証やフォーマット文字列の脆弱性から、OS コマンド・インジェクションや認証バイパスの問題に至るまでの、さまざまな脆弱性が対処された。
アドバイザリの詳細は、以下のとおりである。
| CVE | Description | Affected Products | Severity |
| CVE-2024-45324 | Incorrect authorization in GUI console: Allows low-privileged users unauthorized access. | FortiSandbox 4.4.6, 4.4.5, 4.4.4, 4.4.3, 4.4.2 … | High |
| CVE-2024-45324 | Multiple format string vulnerabilities: Allow control over format string input. | FortiOS 7.4.4, 7.4.3, 7.4.2, 7.4.1, 7.4.0 … FortiProxy 7.6.0, 7.4.6, 7.4.5, 7.4.4, 7.4.3 … FortiSRA 1.4.2, 1.4.1, 1.4.0 FortiWeb 7.6.0, 7.4.5, 7.4.4, 7.4.3, 7.4.2 … | High |
| CVE-2024-54027 | OS command injection: Improper neutralization of special elements used in OS commands. | FortiSandbox 5.0.0, 4.4.6, 4.4.5, 4.4.4, 4.4.3 … | High |
| CVE-2024-6387 | Use of hardcoded cryptographic key: For remote backup server password encryption. | FortiSandbox 5.0.0, 4.4.6, 4.4.5, 4.4.4, 4.4.3 … | High |
| CVE-2024-55591 | Signal handler race condition in OpenSSH server. | FortiADC 7.4.4, 7.4.3, 7.4.2, 7.4.1, 7.4.0 … FortiAIOps 2.0.1, 2.0.0 FortiAnalyzer 7.4.3, 7.4.2, 7.4.1, 7.4.0, 7.2.5 … FortiWeb 7.6.0, 7.4.4, 7.4.3, 7.4.2, 7.4.1 … | High |
| CVE-2024-40591 | Authentication bypass using an alternate path or channel in Node.js websocket module and CSF requests. | FortiOS 7.0.16, 7.0.15, 7.0.14, 7.0.13, 7.0.12 … FortiProxy 7.2.12, 7.2.11, 7.2.10, 7.2.9, 7.2.8 … | Critical |
| CVE-2024-35279 | Permission escalation due to improper privilege management. | FortiOS 7.6.0, 7.4.4, 7.4.3, 7.4.2, 7.4.1 … | High |
| CVE-2024-35279 | Stack buffer overflow in fabric service. | FortiOS 7.4.4, 7.4.3, 7.4.2, 7.4.1, 7.4.0 … | High |
ユーザーに対して強く推奨されるのは、Fortinet 製品を最新バージョンに更新することで、これらの脆弱性を軽減することだ。
推奨されるアップグレード・パスについては、Fortinet のアップグレード・パスツールを参照してほしい。同社は、ソリューションの整合性を確保するために、セキュリティ問題に常に注意を払い、積極的に対処することの重要性を強調している。
サイバーセキュリティの脅威は進化し続けているため、ネットワークを効果的に保護する組織にとっては、ソフトウェアを最新の状態に保ち、ベストプラクティスに従うことが重要となる。
セキュリティ関連の問題を、Fortinet PSIRT に報告する場合や、Fortinet のセキュリティ ポリシーについて詳しく知りたい場合には、Fortinet PSIRT ポリシー・ページにアクセスしてほしい。
Fortinet 製品とサービスを保護する方法の詳細については、同社のセキュリティ・コミュニティ・リソースへのアクセスを推奨する。
Fortinet 製品の複数の脆弱性が FIXしました。この３ヶ月間で、Fortinet 製品の他の脆弱性を狙った攻撃がいくつか確認されています。ご利用のチームは、十分にご注意下さい。よろしければ、以下の関連記事も、Fortinet で検索と併せて、ご参照ください。
2025/02/16：Fortinet などの脆弱性が標的：ロシアの BadPilot
2025/01/15：FortiOS の脆弱性 CVE-2024-55591 が CISA KEV に登録
2025/01/14：Fortinet Firewall 標的キャンペーン：４段階の侵害フェーズ
2025/01/14：Fortinet Firewall 侵害：キャンペーンの入口はゼロデイ
2024/12/19：Fortinet の脆弱性 CVE-2023-48788 の悪用を検出
IoT OT Security News 
You must be logged in to post a comment.