Fortinet FortiOS のパストラバーサルの脆弱性（CVE-2018-13379）

何が起きた

Fortinet FortiOS の SSL VPN の Web ポータルに、パストラバーサルの弱点が見つかりました。細工した要求を送ると、ログインしていない攻撃者が FortiOS のシステムファイルをダウンロードできる可能性があります。NVD の評価では、ネットワーク経由で、ログインなしに、被害者の操作も不要で悪用できます。実際の攻撃での悪用が確認されており、CISA によるとランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Fortinet の勧告によると、FortiOS 6.0.0 から 6.0.4、5.6.3 から 5.6.7、5.4.6 から 5.4.12 が対象で、SSL VPN（web-mode または tunnel-mode）を有効にしている場合だけ影響を受けます。NVD の説明では、FortiProxy 2.0.0、1.2.0 から 1.2.8、1.1.0 から 1.1.6、1.0.0 から 1.0.7 も対象に挙げられていますが、Fortinet の勧告のページには FortiProxy の記載はありません。

何をすればいい

Fortinet の勧告によると、FortiOS 5.4.13、5.6.8、6.0.5、6.2.0 以降が修正版です。これらの版以降に更新されているか確認してください。すぐに更新できない場合の一時的な回避策は、SSL VPN（web-mode と tunnel-mode の両方）を完全に無効にすることだけです。また、SSL VPN の利用者に二要素認証を設定すると、悪用されたときの影響を減らせるとされています。最新の情報は Fortinet の公式の案内で確認してください。

やることチェックリスト

• FortiOS を 5.4.13、5.6.8、6.0.5、6.2.0 以降へ更新する
• 更新できなければ SSL VPN を無効にする
• SSL VPN の利用者に二要素認証を設定する

用語メモ

SSL VPN

暗号化した通信で、外から社内のネットワークに安全に接続するための仕組みです。

パストラバーサル

ファイルの場所の指定を細工して、本来は見られない場所のファイルを読み出す攻撃です。

二要素認証

パスワードに加えて、スマートフォンへのコードなど別の手段でも本人を確かめる仕組みです。