- ひとことでFortinet の FortiOS と FortiProxy で、ログインせずに最高管理者の権限を取られる弱点です。
- 深刻度8.1 重要CVSS v3.1
- まずやることFortiOS を 7.0.17 以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2025-24472 |
|---|---|
| 製品 | Fortinet FortiOS and FortiProxy |
| 深刻度（CVSS） | 8.1 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-03-18 |
| 米国政府機関の対応期限 | 2025-04-08 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-288（別の経路を使った認証の回避） |
何が起きた
Fortinet の FortiOS と FortiProxy で、本来とは別の道筋を通ってログインの確認を飛ばせてしまう弱点（認証回避）が見つかりました。Security Fabric が有効なとき、上流と下流の機器のシリアル番号を知っている攻撃者が、細工した CSF プロキシの要求を送ると、下流の機器で super-admin（最高管理者）の権限を得る可能性があります。NVD に登録された Fortinet の評価では、ログイン不要の攻撃者が離れた場所から悪用でき、CISA の KEV ではランサムウェアでの悪用も確認済みとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
FortiOS 7.0.0 から 7.0.16、FortiProxy 7.2.0 から 7.2.12 と 7.0.0 から 7.0.19 を使っている組織が対象です。Fortinet の勧告では、FortiOS 7.6、7.4、7.2、6.4 と、FortiProxy 7.6、7.4、2.0 は影響を受けないとしています。
何をすればいい
FortiOS は 7.0.17 以降、FortiProxy 7.2 は 7.2.13 以降、FortiProxy 7.0 は 7.0.20 以降に更新されているか確認してください。すぐに更新できない場合、Fortinet の勧告では、CLI で Security Fabric を無効にする回避策が示されています。あわせて、Fortinet の公式の案内を確認してください。
やることチェックリスト
- FortiOS を 7.0.17 以降に更新する
- FortiProxy を 7.2.13 か 7.0.20 以降に更新する
- 更新まで CLI で Security Fabric を無効にする
用語メモ
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Fortinet FortiOS and FortiProxy Authentication Bypass Vulnerability
概要
Fortinet FortiOS and FortiProxy contain an authentication bypass vulnerability that allows a remote attacker to gain super-admin privileges via crafted CSF proxy requests.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る