Fortinet FortiOS and FortiProxy の認証回避の脆弱性（CVE-2024-55591）

何が起きた

Fortinet の FortiOS と FortiProxy に、本来の確認を通らない別の道からログインを回避できる弱点（認証回避）が見つかりました。Node.js websocket module に細工した要求を送ることで、攻撃者が super-admin（最上位の管理者）の権限を得られるおそれがあります。Fortinet の勧告では、細工した CSF proxy の要求でも同じことが起きるとされています。この弱点は実際に悪用されており、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

影響を受けるのは、FortiOS version 7.0.0 through 7.0.16、FortiProxy version 7.0.0 through 7.0.19 と 7.2.0 through 7.2.12 です。Fortinet の勧告では、FortiOS 7.2・7.4・7.6 や 6.4、FortiProxy 7.4・7.6 や 2.0 は影響を受けないとされています。

何をすればいい

FortiOS 7.0 は 7.0.17 以降、FortiProxy 7.2 は 7.2.13 以降、FortiProxy 7.0 は 7.0.20 以降に更新してください。すぐに更新できない場合、Fortinet は回避策として、HTTP/HTTPS の管理画面を無効にするか、local-in policy で管理画面に接続できる IP アドレスを制限するよう案内しています。また、攻撃者がランダムな名前の管理者アカウントやローカルユーザーを作った例が報告されているため、身に覚えのないアカウントがないか確認し、Fortinet の公式の案内も確認してください。

やることチェックリスト

• FortiOS は 7.0.17 以降、FortiProxy も修正版にする
• 管理画面を無効にするか、接続元の IP アドレスを制限する
• 身に覚えのない管理者アカウントがないか確認する

用語メモ

認証回避

パスワードなどの本人確認を正しく通らずに、ログインした状態と同じことができてしまう弱点です。

super-admin

FortiOS などで、すべての設定を変えられる最上位の管理者の権限です。

local-in policy

FortiGate などの機器そのものへの接続を、送り元の IP アドレスなどで許可・拒否する設定です。