Fortinet FortiOS の範囲外書き込みの脆弱性（CVE-2024-21762）

何が起きた

Fortinet のファイアウォールなどで動く FortiOS と、FortiProxy に、メモリーの決められた範囲の外に書き込んでしまう弱点が見つかりました。細工した HTTP の通信を送られると、攻撃者が任意の（好きに選べる）コードや命令を実行できるおそれがあります。この弱点は実際に悪用されたことが確認され、ランサムウェアでの悪用も知られています。ネットワーク経由で、ログインの権限がない攻撃者でも、利用者の操作なしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FortiOS は 7.4.0〜7.4.2、7.2.0〜7.2.6、7.0.0〜7.0.13、6.4.0〜6.4.14、6.2.0〜6.2.15 が影響を受けます。FortiOS 6.0 は、NVD の説明では全バージョン、Fortinet の勧告では 6.0.0〜6.0.17 が対象です。FortiProxy は 7.4.0〜7.4.2、7.2.0〜7.2.8、7.0.0〜7.0.14、2.0.0〜2.0.13 と、1.2・1.1・1.0 の全バージョンが対象です。

何をすればいい

FortiOS は 7.4.3、7.2.7、7.0.14、6.4.15、6.2.16、6.0.18 以降に、FortiProxy は 7.4.3、7.2.9、7.0.15、2.0.14 以降に更新されているか確認します。FortiProxy の 1.2・1.1・1.0 は、修正のある系列へ移行します。すぐに更新できない場合、Fortinet は回避策として SSL VPN を無効にするよう案内しています（webmode を無効にするだけでは回避策になりません）。あわせて、Fortinet の公式の案内（FG-IR-24-015）を確認します。

やることチェックリスト

• FortiOS 7.4 は 7.4.3 以降に更新する
• 使っている系列の修正版に FortiOS を更新する
• すぐ更新できなければ SSL VPN を無効にする

用語メモ

SSL VPN

ブラウザーなどを使い、暗号化した通信で社外から社内のネットワークに入れるようにする仕組みです。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。

HTTP

ブラウザーとウェブサーバーがやりとりするときの通信の決まりです。