Fortinet FortiOS の認証の不備の脆弱性（CVE-2020-12812）

何が起きた

Fortinet の FortiOS の SSL VPN に、ログインの確認が不十分な弱点が見つかりました。ユーザー名の大文字と小文字を変えてログインすると、二段階認証（FortiToken）の入力を求められずにログインできてしまうことがあります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できます。CISA によると、実際の悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FortiOS の SSL VPN を使っている組織が対象です。Fortinet によると、影響を受けるのは FortiOS 6.4.0、6.2.0 から 6.2.3、6.0.9 以前です。この問題は、user local の設定で二段階認証を有効にし、ログインの方法を LDAP などの外部の認証にしている場合に起きます。

何をすればいい

Fortinet の公式の案内を確認し、FortiOS を 6.4.1 以降、6.2.4 以降、6.0.10 以降のどれかに更新してください。更新したあと、二段階認証を回避されないよう、管理者が username-case-sensitivity を手作業で無効にする必要があります。

やることチェックリスト

• FortiOSを6.4.1、6.2.4、6.0.10以降にする
• 更新後username-case-sensitivityを無効にする
• 二段階認証とLDAPの設定を確かめる

用語メモ

SSL VPN

インターネット越しに、会社のネットワークへ安全につなぐための仕組みです。

二段階認証

パスワードに加えて、別の確認（ワンタイムの番号など）を求めるログインの方法です。

LDAP

利用者の名前やパスワードをまとめて管理し、ログインの確認に使う仕組みの一つです。

ランサムウェア

ファイルを使えなくして、元に戻す代わりにお金を要求する悪いプログラムです。