サイバーセキュリティ企業フォーティネットは、FortiManager デバイスの重大なセキュリティ脆弱性が実際に活発に悪用されていると報告されていることを確認しました。
CVE-2024-47575 (CVSS スコア: 9.8) と呼ばれるこの重大な脆弱性は、FortiJump とも呼ばれ、FortiManager および FortiManager Cloud の FortiGate to FortiManager (FGFM) プロトコルに起因します。
「FortiManager fgfmd デーモンの重要な機能の脆弱性 [CWE-306] に対する認証が欠落しており、認証されていないリモートの攻撃者が特別に作成されたリクエストを介して任意のコマンドやコードを実行できる可能性があると同社は説明した」セキュリティ勧告水曜日にFortiManagerプラットフォーム向けに公開されました。
「報告書によると、この脆弱性が実際に悪用されていることが示されています」と同社は述べています。
さらに、次の複数のバージョンの FortiManager およびクラウドベースの FortiManager Cloud がこの脆弱性の影響を受けます。
- FortiManager 7.6 (7.6.1 より前のバージョン)
- FortiManager 7.4 (バージョン 7.4.0 ～ 7.4.4)
- FortiManager 7.2 (バージョン 7.2.0 ～ 7.2.7)
- FortiManager 7.0 (バージョン 7.0.0 ～ 7.0.12)
- FortiManager 6.4 (バージョン 6.4.0 ～ 6.4.14)
- FortiManager 6.2 (バージョン 6.2.0 ～ 6.2.12)
- FortiManager Cloud 7.4 (バージョン 7.4.1 ～ 7.4.4)
- FortiManager Cloud 7.2 (バージョン 7.2.1 ～ 7.2.7)
- FortiManager Cloud 7.0 (バージョン 7.0.1 ～ 7.0.12)
- FortiManager Cloud 6.4 (バージョン 6.4 のすべてのバージョン)
この脆弱性は、上記のバージョンに加えて、fgfm サービスとのインターフェイスを少なくとも 1 つ備えている古い FortiAnalyzer モデル 1000E、1000F、2000E、3000E、3000F、3000G、3500E、3500F、3500G、3700F、3700G、および 3900E にも影響します。有効であり、次の機能が有効になっています (FortiAnalyzer 上の FortiManager):
システムグローバルの設定
fmg-status を有効に設定する
終わり
フォーティネットは、脆弱性の深刻度が高いことを考慮して、影響を受けるユーザーに対し、ただちに行動を起こし、アドバイザリーに記載されている修正バージョンにできるだけ早くアップグレードすることを推奨しています。
あるいは、ユーザーは、インストールされている FortiManager の現在のバージョンに応じて、次のいずれかの回避策を使用して欠陥を軽減できます。
- FortiManager の場合、バージョン 7.0.12 以降、7.2.5 以降、および 7.4.3 以降 (7.6.0 は除く) では、不明なデバイスの登録試行が防止されます。
- FortiManager バージョン 7.2.0 以降の場合、ローカルイン ポリシーを追加して、接続を許可する FortiGates の IP アドレスをホワイトリストに登録できます。
- カスタム証明書を使用して、FortiManager バージョン 7.2.2 以降、7.4.0 以降、および 7.6.0 以降の問題を軽減します。
FortiManager はバージョン 7.2.8 と 7.4.5 のみをリリースしており、残りは数日以内にリリースされる予定です。
同社はさらに、悪意のあるアクティビティに関連するログ エントリ、特定の IP アドレス、シリアル番号、ファイル (すべての場合に表示されるわけではない) など、一連の侵害の可能性を示す兆候 (IoC) を共有しました。
レポートによると、同社は 2024 年 10 月 13 日に FortiManager の顧客に対して FortiManager の脆弱性について非公開で警告を開始しました。
「この脆弱性を特定した後、(CVE-2024-47575）、フォーティネットは重要な情報とリソースをお客様に迅速に伝達しました。これは、脅威アクターを含むより広範な対象者に向けてアドバイザリーが公開される前に、顧客がセキュリティ体制を強化できるようにするための責任ある開示に関する当社のプロセスとベストプラクティスに沿ったものです」と同社は発表した声明の中で述べた。
「我々はまた、対応する公開勧告を発行しました（FG-IR-24-423) 回避策やパッチ更新を含む緩和ガイダンスを繰り返し説明します。お客様には、提供されるガイダンスに従って回避策と修正を実装し、アドバイザリー ページの更新を引き続き追跡することをお勧めします。私たちは継続的な対応の一環として、適切な国際政府機関および業界脅威組織との連携を継続します。」
