Fortinet製品の「緊急」の脆弱性が「既知の悪用された脆弱性カタログ」に追加 急ぎ確認を：セキュリティニュースアラート

2024年2月に見つかったFortinet製品の脆弱性（CVE-2024-23113）が「既知の悪用された脆弱性カタログ」（CISA発行）に登録された。悪用が確認された脆弱性であるため対応の緊急度も高い。詳細を確認の上、急いで対処してほしい。

[後藤大地，有限会社オングス]

　米国サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（以下、CISA）は2024年10月9日（現地時間）、Fortinet製品の深刻な脆弱（ぜいじゃく）性（CVE-2024-23113）が活発に悪用されているとし、「既知の悪用された脆弱性カタログ」（KEV：Known Exploited Vulnerabilities Catalog）に追加したと報告した。

　CVE-2024-23113は2024年2月に見つかったものだが、対処していないユーザーには再度の確認が求められている。

FortiOSの重大な脆弱性で悪用確認　対処済みかいま一度確認を

　CVE-2024-23113は、「FortiOS」の「fgfmdデーモン」の外部制御の文字列フォーマット脆弱性を悪用されたときに、認証されていないリモートユーザーが細工したリクエストを使うことでコード実行できるというものだ。

　この脆弱性の深刻度は共通脆弱性評価システム（CVSS） v3のスコア値で9.8と評価されており、「緊急」（Critical）に分類されている。

　脆弱性の影響を受ける製品およびバージョンは以下の通りだ。

• FortiOS 7.4.0から7.4.2までのバージョン
• FortiOS 7.2.0から7.2.6までのバージョン
• FortiOS 7.0.0から7.0.13までのバージョン
• FortiPAM 1.2系全てのバージョン
• FortiPAM 1.1系全てのバージョン
• FortiPAM 1.0系全てのバージョン
• FortiProxy 7.4.0から7.4.2までのバージョン
• FortiProxy 7.2.0から7.2.8までのバージョン
• FortiProxy 7.0.0から7.0.15までのバージョン
• FortiWeb 7.4.0から7.4.2までのバージョン

　修正された製品およびバージョンは以下の通りだ。

• FortiOS 7.4.3およびこれ以降のバージョン
• FortiOS 7.2.7およびこれ以降のバージョン
• FortiOS 7.0.14およびこれ以降のバージョン
• FortiPAM 1.2系修正リリース
• FortiPAM 1.1系修正リリース
• FortiPAM 1.0系修正リリース
• FortiProxy 7.4.3およびこれ以降のバージョン
• FortiProxy 7.2.9およびこれ以降のバージョン
• FortiProxy 7.0.16およびこれ以降のバージョン
• FortiWeb 7.4.3およびこれ以降のバージョン

　KEVには脆弱性の新旧にかかわらず、アクティブに悪用されている脆弱性情報が登録される。カタログに追加された脆弱性は実際に悪用されていることから緊急性の高いものであると認識し、該当製品を使用している場合には直ちに対策を取ることが望まれる。