Fortinet FortiOS and FortiProxy の認可の不備の脆弱性（CVE-2018-13382）

何が起きた

Fortinet FortiOS と FortiProxy の SSL VPN の Web ポータルに、権限の確認が不十分な弱点が見つかりました。細工した HTTP リクエストを送ることで、ログインしていない攻撃者が SSL VPN 利用者のパスワードを変えられるおそれがあります。NVD の評価では、ネットワーク経由で、ログイン不要・利用者の操作なしで悪用できます。CISA によると実際の悪用が確認されており、ランサムウェアの攻撃でも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、FortiOS 6.0.0〜6.0.4、5.6.0〜5.6.8、5.4.1〜5.4.10 と、FortiProxy 2.0.0、1.2.0〜1.2.8、1.1.0〜1.1.6、1.0.0〜1.0.7 が対象です。Fortinet の勧告では、FortiOS は SSL VPN（web モードまたは tunnel モード）を有効にしていて、ローカル認証の利用者がいる場合に影響を受け、LDAP や RADIUS で認証する利用者は影響を受けません。FortiOS 5.4.0 以前は影響を受けません。

何をすればいい

FortiOS は 5.4.11、5.6.9、6.0.5、6.2.0 以降に更新されているか確認してください。すぐに更新できない場合、Fortinet は SSL VPN 利用者の認証をローカルから LDAP や RADIUS に移すか、SSL VPN そのものを止めることを回避策としています。ローカル認証の利用者は二要素認証を有効にすると、パスワードを変えられても攻撃者はそのアカウントでログインできません。FortiProxy は、Fortinet の別の勧告（FG-IR-20-231）で 1.2.9 以降または 2.0.1 以降への更新が案内されています。詳しくは Fortinet の公式の案内を確認してください。

やることチェックリスト

• FortiOS を 6.0.5 や 6.2.0 以降に更新する
• SSL VPN のローカル利用者に二要素認証を設定する
• 更新できなければ認証を LDAP か RADIUS に移す

用語メモ

SSL VPN

インターネット越しに会社などのネットワークへ安全に入るための仕組みです。ブラウザーや専用ソフトから使います。

二要素認証

パスワードに加えて、スマホのコードなど別の確認を組み合わせてログインする方法です。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意あるプログラムです。