Fortinet、FortiManagerにおける未開示の脆弱性にパッチ

佐々山 Tacos

2024.10.22

Fortinet、FortiManagerにおける未開示の脆弱性にパッチ

Help Net Security – October 21, 2024

[Update: 10月24日] Fortinetは23日にこの脆弱性（CVE-2024-47575）に関する公式アドバイザリを公開。この中で、攻撃での悪用が観測されいてる旨も伝えている。詳しくはこちらの記事で：Fortinet、ゼロデイ攻撃で悪用されたFortiManagerの脆弱性について警告：CVE-2024-47575

ここ数日間のうちに、FortinetはFortiManager向けのセキュリティアップデートをリリースし、ある重大な脆弱性に対処しているという。一部ソーシャルメディアでは、この脆弱性が中国の脅威アクターに悪用されている旨を伝える投稿も見受けられる。

Help Net Securityの報道によると、Fortinetは1週間前、一部の顧客へ非公開で通知を送り、脆弱性の一時的な緩和策を共有していたという。緩和策には、FortiManagerの設定を、未知のシリアルナンバーを持つデバイスの登録/接続を防止するものへと変更することを推奨するものがあった模様。なお同社は以前から、重大な脆弱性の存在を一般に開示する前に密かに修正することで知られている。

これに関連して著名な研究者のKevin Beaumont氏は10月21日、Mastodonの投稿において、Fortinetが今現在悪用されているゼロデイを修正するためにFortiManagerの新バージョン6つのうち1つをリリースしたと報告。しかしCVEは発行されておらず、リリースノートに同脆弱性に関する記載はないと付け加えた。同氏はまた、翌22日の投稿で、この脆弱性が中国のアクターに悪用されていることを示唆している。

Fortinetはこの脆弱性に関連する詳細情報やCVE識別番号を明かしていないものの、推奨された緩和策を踏まえると、この問題は「Fortigate to FortiManager（fgfm）」の接続/通信/管理機能の中に存在していると考えられるかもしれないという。また、ネット上のユーザーの間では、この脆弱性が別の悪用されている脆弱性CVE-2024-23113と関連するものなのか否かについての憶測が広がっているとのこと。