複数のFortinet製品に重大な脆弱性が発覚 悪用も確認済みのため急ぎ対処を：セキュリティニュースアラート

Fortinetは複数製品における脆弱性を公表した。対象製品にはFortiWLMやFortiManagerなどが含まれている。悪用も確認済みのため、ユーザーは迅速にアップデートを適用し、セキュリティリスクを軽減することが求められる。

[後藤大地，有限会社オングス]

　Fortinetは2024年12月18日（現地時間、以下同）、「FortiWLM」や「FortiManager」など同社の複数製品についてセキュリティアドバイザリーを発行した。そのうち一つの脆弱（ぜいじゃく）性は共通脆弱性評価システム（CVSS）v3スコア9.6、深刻度「緊急」（Critical）と分析されており注意が必要だ。これが悪用されると、認証されていないコードやコマンドが実行される恐れがある。

Fortinet製品にCVSSスコア9.6の深刻な脆弱性　攻撃も確認済みのため注意

　発表された主なセキュリティアドバイザリーは以下の通りだ。

• [FortiWLM] Unauthenticated limited file read vulnerability - PSIRT | FortiGuard Labs：　CVSSv3 9.6（緊急）
• OS command injection - PSIRT | FortiGuard Labs：　CVSSv3 7.2（重要）
• Credentials can be dumped from memory - PSIRT | FortiGuard Labs：　CVSSv3 4.9（警告）

　セキュリティアドバイザリーの対象製品とバージョンは以下の通りだ。

• FortiWLM 8.6.0から8.6.5までのバージョン
• FortiWLM 8.5.0から8.5.4までのバージョン
• FortiManager 7.6.0
• FortiManager 7.4.0から7.4.4までのバージョン
• FortiManager Cloud 7.4.1〜7.4.4までのバージョン
• FortiManager 7.2.3から7.2.7までのバージョン
• FortiManager Cloud 7.2.1〜7.2.7までのバージョン
• FortiManager 7.0.5から7.0.12までのバージョン
• FortiManager Cloud 7.0.1〜7.0.12までのバージョン
• FortiManager 6.4.10から6.4.14までのバージョン
• FortiClientLinux 7.4.0から7.4.2までのバージョン
• FortiClientLinux 7.2.0から7.2.7までのバージョン
• FortiClientLinux 7.0.0から7.0.13までのバージョン
• FortiClientWindows 7.4.0から7.4.1までのバージョン
• FortiClientWindows 7.2.0から7.2.6までのバージョン
• FortiClientWindows 7.0.0から7.0.13までのバージョン

　脆弱性が修正された製品およびバージョンは以下の通りだ。

• FortiWLM 8.6.6およびこれ以降のバージョン
• FortiWLM 8.5.5およびこれ以降のバージョン
• FortiManager 7.6.1およびこれ以降のバージョン
• FortiManager 7.4.5およびこれ以降のバージョン
• FortiManager 7.4.5およびこれ以降のバージョン
• FortiManager 7.2.8およびこれ以降のバージョン
• FortiManager 7.2.8およびこれ以降のバージョン
• FortiManager 7.0.13およびこれ以降のバージョン
• FortiManager 7.0.13およびこれ以降のバージョン
• FortiManager 6.4.15およびこれ以降のバージョン
• FortiClientLinux 7.4.3およびこれ以降のバージョン
• FortiClientLinux 7.2.8およびこれ以降のバージョン
• FortiClientLinux 7.0.14およびこれ以降のバージョン
• FortiClientWindows 7.4.2およびこれ以降のバージョン
• FortiClientWindows 7.2.7およびこれ以降のバージョン
• FortiClientWindows 7.0.14およびこれ以降のバージョン

　また、セキュリティアドバイザリーが発行された時期は2024年3月と古いが、次の脆弱性についても注意が必要だ。

• Pervasive SQL injection in DAS component - PSIRT | FortiGuard Labs：　CVSSv3 9.3（緊急）

　Kasperskyは2024年12月19日、「Attackers exploiting a FortiClient EMS vulnerability in the wild | Securelist」において上記の脆弱性が悪用されていると報告した。該当製品にアップデートを適用していない場合、サイバー攻撃の標的となる可能性がある。

　Fortinet製品は主に企業や組織で採用されることが多く、ネットワーク・セキュリティやエンドポイントセキュリティなどにおいて重要な役割を担っている。このため、Fortinet製品の脆弱性は攻撃者にとって格好の標的となる。同社の製品を採用している場合、同社から発表されるセキュリティアドバイザリーは確実にチェックし、該当する場合は迅速にアップデートを適用し、対策を実施することが望まれる。