FortiPAM／FortiSwitch の脆弱性 CVE-2025-49201 が FIX：ブルートフォースの可能性

FortiPAM and FortiSwitch Manager Vulnerability Let Attackers Bypass Authentication Process

2025/10/14 CyberSecurityNews — Fortinet は緊急アドバイザリを発表し、FortiPAM／FortiSwitch Manager に深刻な脆弱性が存在することを明らかにした。この脆弱性を悪用する攻撃者は、ブルートフォース攻撃で認証が完全に突破される可能性がある。この脆弱性 CVE-2025-49201 (CVSS v3.1：7.4：High) は Web Application Delivery (WAD) および Graphical User Interface (GUI) コンポーネントの脆弱な認証メカニズムに起因し、CWE-1390 に分類される。

脆弱性 CVE-2025-49201 により不正なコード実行やコマンド・インジェクションが可能となり、リモートの攻撃者が影響を受けるシステムを完全に制御する恐れがある。

この脆弱性が影響を及ぼす範囲は、Fortinet の特権アクセス管理ソリューションである FortiPAM の複数バージョンと、ネットワークスイッチのコンフィグを処理する FortiSwitch Manager の一部リリースとなる。具体的には、FortiPAM バージョン 1.5.0／1.4.0～1.4.2／1.3／1.2／1.1／1.0 が、この脆弱性の影響を受ける。なお、FortiSwitch Manager については、7.2 系列のバージョン 7.2.0～7.2.4 が影響を受けるが、7.0 系列には影響しない。

攻撃者はネットワーク・アクセスを必要とするが、持続的なブルートフォース攻撃による長期的な悪用試行にいたる可能性がある。ただし、現時点で公開されたエクスプロイトは確認されていない。

ProductAffected VersionsSolution
FortiPAM 1.7Not affectedNot Applicable
FortiPAM 1.6Not affectedNot Applicable
FortiPAM 1.51.5.0Upgrade to 1.5.1 or above
FortiPAM 1.41.4.0 through 1.4.2Upgrade to 1.4.3 or above
FortiPAM 1.31.3 all versionsMigrate to a fixed release
FortiPAM 1.21.2 all versionsMigrate to a fixed release
FortiPAM 1.11.1 all versionsMigrate to a fixed release
FortiPAM 1.01.0 all versionsMigrate to a fixed release
FortiSwitchManager 7.27.2.0 through 7.2.4Upgrade to 7.2.5 or above
FortiSwitchManager 7.0Not affectedNot Applicable

Fortinet が強く指摘するのは、速やかなアップデートにより、脅威を軽減することだ。脆弱な FortiPAM 1.5 を使用しているユーザーは 1.5.1 以降へのアップグレードが、1.4 を使用しているユーザーは 1.4.3 以降へのアップグレードが必要である。1.3 以下のバージョンを使用している場合には、修正版への移行が必須となる。

また、FortiSwitch Manager 7.2 を使用しているユーザーは、7.2.5 以降へとアップデートする必要がある。Fortinet が推奨する暫定的な防御策は、異常なログイン試行の監視および多要素認証の実装である。

この脆弱性は、Fortinet の製品セキュリティ・チームに所属する Gwendal Guégniaud により社内で発見され、社内参照番号 FG-IR-25-010 として 2025年10月14日に公開された。

今回の公開が浮き彫りにするのは、ネットワーク管理ツールを狙うサプライチェーン攻撃への懸念が高まる中での、企業環境における迅速なアップデートの必要性である。

Fortinet の緊急アドバイザリで公開された脆弱性は、Web Application Delivery や GUI の認証メカニズムに設計上の弱点により、ブルートフォース攻撃が発生するというものです。認証強度やレート制限の不足が持続的な試行を許し、最終的に不正コード実行やシステム掌握につながる恐れがあります。対象は FortiPAM と FortiSwitch Manager の一部バージョンであり、ネットワーク経由の攻撃が前提ですが、長期的な試行で悪用されるリスクがあると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Fortinet で検索も、ご参照ください。