Fortinet FortiClient EMS のSQLインジェクションの脆弱性（CVE-2023-48788）

何が起きた

Fortinet の FortiClient EMS の DAS という部品に、データベースへの命令（SQL）に悪意のある内容を混ぜ込まれる弱点（SQL インジェクション）が見つかりました。CISA によると、ログインしていない攻撃者が、細工した要求を送ることで、SYSTEM の権限で命令を実行できます。ネットワーク経由で、利用者の操作なしに悪用でき、Fortinet も実際に悪用されているとしています。ランサムウェアでの悪用も知られています（CISA の KEV より）。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FortiClient EMS の 7.2.0 から 7.2.2 まで、7.0.1 から 7.0.10 までを使っている組織が対象です。Fortinet によると、6.4 は影響を受けません。

何をすればいい

7.2 系は 7.2.3 以上に、7.0 系は 7.0.11 以上に更新されているか確認してください。Fortinet は、この攻撃を見つけるための IPS のシグネチャ（攻撃の特徴の定義）も提供しています。Fortinet の公式の案内（FG-IR-24-007）を確認してください。

やることチェックリスト

• 7.2 系は 7.2.3 以上に更新する
• 7.0 系は 7.0.11 以上に更新する
• IPS のシグネチャを最新にして攻撃を検知する

用語メモ

SQL インジェクション

入力欄などに細工した文字を入れ、データベースへの命令を書き換えて悪用する攻撃です。

SYSTEM

Windows で、管理者よりも強い、OS 自身が使う最も高い権限です。

IPS

ネットワークの通信を見張り、攻撃と思われる通信を見つけて止める仕組みです。