CVE-2022-41328とは？Fortinet FortiOSの脆弱性をわかりやすく解説

ひとことでFortiOS で、権限のある攻撃者に機器内部のファイルを読み書きされる弱点
深刻度7.1 重要CVSS v3.1
まずやることFortiOS のバージョンを確認する

基本情報（データから表示）

CVE番号	CVE-2022-41328
製品	Fortinet FortiOS
深刻度（CVSS）	7.1 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N`
KEVへの追加日	2023-03-14
米国政府機関の対応期限	2023-04-04
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-22（パストラバーサル）

何が起きた

Fortinet の FortiOS に、決められた場所の外のファイルにまで手が届いてしまう弱点（パストラバーサル）が見つかり、実際に悪用が確認されています。細工した CLI のコマンドを使うと、機器の土台の Linux のファイルを読み書きされるおそれがあります。NVD の評価では、悪用には機器上で一般利用者程度の権限が必要です。Fortinet は、特権のある攻撃者による、ログイン済み（Authenticated）の攻撃としています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Fortinet によると、FortiOS 7.2.0 から 7.2.3、7.0.0 から 7.0.9、6.4.0 から 6.4.11、6.2.0 から 6.2.13、6.0 のすべてのバージョンが影響を受けます。

何をすればいい

Fortinet の案内に従い、FortiOS 7.2.4 以降、7.0.10 以降、6.4.12 以降、6.2.14 以降のいずれかに更新してください。Fortinet の勧告には、6.0 向けの修正版は示されていません。公式の案内を確認し、使っている機器のバージョンを確かめてください。

やることチェックリスト

FortiOS のバージョンを確認する
7.2 系は 7.2.4 以降に更新する
7.0 系は 7.0.10 以降に更新する

用語メモ

パストラバーサル用語集で見る: ファイルの場所の指定を細工して、本来は見られない場所のファイルにアクセスする攻撃です。
CLI 用語集で見る: 文字のコマンドを打ち込んで機器を操作する画面のことです。

次に読む

同じ製品・メーカーの脆弱性Fortinet FortiOS（CVE-2025-68686）5.9 警告CVSS v3.1FortiOSのSSL-VPNで、攻撃者の居座りを防ぐ修正をすり抜けられ、情報を見られる弱点です。同じ製品・メーカーの脆弱性Fortinet FortiOS（CVE-2019-6693）6.5 警告CVSS v3.1Fortinet FortiOS の設定ファイルの暗号の鍵が固定で、中身を解読されるおそれがある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Fortinet FortiOS Path Traversal Vulnerability

概要

Fortinet FortiOS contains a path traversal vulnerability that may allow a local privileged attacker to read and write files via crafted CLI commands.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Fortinet FortiOS のパストラバーサルの脆弱性（CVE-2022-41328）