Fortinet FortiManager の認証の欠如の脆弱性（CVE-2024-47575）

何が起きた

Fortinet の FortiManager（たくさんの FortiGate をまとめて管理する製品）の fgfmd という機器との通信を受け持つ部分で、大事な機能を使うときのログイン確認が抜けている弱点が見つかりました。攻撃者は、細工した通信を送ることで、任意の（攻撃者が好きに選べる）プログラムやコマンドを実行できるおそれがあります。ネットワーク経由で離れた場所から、ログインなしで、利用者の操作もなしに悪用できます。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FortiManager 7.6.0、7.4.0 から 7.4.4、7.2.0 から 7.2.7、7.0.0 から 7.0.12、6.4.0 から 6.4.14、6.2.0 から 6.2.12 を使っている組織が対象です。クラウド版の FortiManager Cloud も 7.4.1 から 7.4.4、7.2.1 から 7.2.7、7.0.1 から 7.0.12 が影響を受けます。FortiManager Cloud 6.4 は、Fortinet の勧告ではすべての版、NVD の説明では 6.4.1 から 6.4.7 が対象とされています。Fortinet の勧告によると、古い FortiAnalyzer の一部の機種（1000E、3000F など）も、FortiManager の機能を有効にし、fgfm のサービスを有効にしたインターフェースがある場合は影響を受けます。

何をすればいい

Fortinet の案内では、FortiManager は 7.6.1、7.4.5、7.2.8、7.0.13、6.4.15、6.2.13 以降に、FortiManager Cloud は 7.4.5、7.2.8、7.0.13 以降に更新します。6.4 の FortiManager Cloud は修正済みの版へ移ります。すぐに更新できない場合は、公式の案内にある回避策として、fgfm-deny-unknown を有効にして登録されていない機器からの接続を断る方法や、接続してよい FortiGate の IP アドレスだけを許すローカルインポリシーを設定する方法があります。また、すでに侵入されていないかの確認も必要です。Fortinet の勧告には、侵害の痕跡（IoC）として、登録されていない機器の追加が成功したことを示すログ、攻撃に使われた IP アドレスや機器のシリアル番号、/tmp/.tm と /var/tmp/.tm というファイルが載っています（ファイルの痕跡はいつも残るとは限りません。ログは、更新済みの機器でも失敗した攻撃の試みとして記録されることがあります）。痕跡が見つかった場合は、勧告の復旧手順（FortiManager を新しく入れ直すか初期化し、機器を追加し直すか、痕跡が見つかる前に取ったバックアップを戻すなど）に従い、管理しているすべての機器のパスワードなどの認証情報をすぐに変えてください。必ず Fortinet の公式の案内を確認してください。

やることチェックリスト

• FortiManager を修正版に更新する
• 勧告の侵害の痕跡と照らし合わせる
• 痕跡があれば勧告の手順で復旧する

用語メモ

FortiManager

Fortinet のファイアウォール製品 FortiGate などを、まとめて設定・管理するための製品です。

fgfmd

FortiManager と FortiGate のあいだで管理用の通信をやりとりするプログラムです。

ローカルインポリシー

機器そのものに届く通信について、どこからの接続を許すかを決める設定です。