Fortinet FortiOS の脆弱性（CVE-2019-5591）

何が起きた

Fortinet のファイアウォールなどで使う FortiOS は、初期設定のままだと LDAP サーバー（利用者の情報を管理するサーバー）が本物かどうかを確かめていませんでした。そのため、同じネットワーク（サブネット）にいる攻撃者が LDAP サーバーになりすまし、大事な情報を盗み見られるおそれがあります。NVD の評価では、ログインしていない攻撃者が同じネットワーク内から悪用できます。CISA は実際の悪用を確認しており、ランサムウェアの攻撃にも使われたとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FortiOS で LDAP サーバーを使っている組織が対象です。Fortinet によると、影響を受けるのは FortiOS 6.2.0 以前です。

何をすればいい

Fortinet によると、6.0.3 から 6.2.0 では、LDAP サーバーの証明書（ca-cert）と安全な接続（secure を ldaps）を設定したうえで、server-identity-check を有効にすると、この問題を完全に防げます。6.2.1 以降は新しく入れた場合は最初から有効ですが、更新では設定がそのまま引き継がれるため、6.2.1 以降に更新するだけでは足りません。更新の前後どちらでもよいので、server-identity-check が有効になっているか確認してください。あわせて Fortinet の公式の案内を確認してください。

やることチェックリスト

• LDAP サーバーに ca-cert と ldaps を設定する
• server-identity-check を有効にする
• 6.2.1 以降へ更新後も設定の有効を確認する

用語メモ

LDAP サーバー

利用者の名前やパスワードなどの情報をまとめて管理し、ほかの機器に答えるサーバーです。

サブネット

大きなネットワークを小さく分けた、ひとまとまりのネットワークです。

ランサムウェア

データを使えない状態にして、元に戻すことと引き換えにお金を要求する悪いプログラムです。