Fortinet、FortiWLMのCriticalな脆弱性について開示：CVE-2023-34990

佐々山 Tacos

2024.12.19

12月19日：サイバーセキュリティ関連ニュース

Fortinet、FortiWLMのCriticalな脆弱性について開示：CVE-2023-34990

FortiGuardLabs – Dec 18, 2024, FortiGuardLabs – Dec 18, 2024, FortiGuardLabs – Dec 18, 2024

Fortinetは18日、複数製品の脆弱性に関するPSIRTアドバイザリを更新。深刻度が最高レベルの「Critical」評価のCVE-2023-34990を含む、以下の脆弱性について注意喚起した。

CVE-2023-34990：FortiWLMにおける、認証不要の限定的なファイル読み取りの脆弱性。相対パストラバーサルの問題に起因するもので、認証されていない遠隔の攻撃者による機微なファイルの読み取りを可能にする恐れがある。これにより、不正なコードやコマンドを実行される可能性があるとされる。CVSS v3スコアは9.6、深刻度の評価は「Critical」。
CVE-2024-48889：FortiManagerにおけるOSコマンドインジェクションの脆弱性。認証されていない遠隔の攻撃者が悪用すると、不正なコードの実行が可能になる恐れがある。CVSS v3スコアは7.2、深刻度の評価は「High」。FortiManagerの複数バージョンのほか、FortiAnalyzerの古いモデルでも、特定の機能が有効になっている場合は影響を受ける。
CVE-2024-50570：FortiClient Windowsにおける、メモリから認証情報が抜き取られる恐れのある脆弱性。重要な情報の平文保存に起因する問題で、認証されたローカルのユーザーがメモリダンプを介してVPNのパスワードを抜き出せるようになる恐れがある。CVSS v3スコアは4.9、深刻度の評価は「Medium」。

インターポール、「豚の屠殺詐欺」の代わりに「ロマンス・ベイティング」という表現を用いるよう呼びかけ

The Hacker News – Dec 18, 2024

インターポールが、「豚の屠殺詐欺（Pig Butchering）」という名称は避け、代わりに「ロマンス・ベイティング」という用語を使うよう呼びかけ。「豚の屠殺」が被害者を辱めるような表現であるために、当局への通報や情報提供が妨げられてしまうためだという。

豚の屠殺詐欺改めロマンス・ベイティングとは、ターゲットとの間で恋愛関係めいた信頼関係を構築したのちに、偽の暗号資産投資話を持ち掛けて大金を奪い取るというタイプの詐欺。2016年ごろに中国で初めて観測されて以来、世界中に蔓延するようになったとされる。

インターポールによれば、「ロマンス・ベイティング」という用語は詐欺師の用いる心理的なテクニックをイメージさせるものであり、被害者ではなく加害者の方に視線が向くような言葉だと説明。過去に暴力的性犯罪、家庭内虐待、オンライン児童搾取の分野でも用語の変更が有効だったことを踏まえ、これを詐欺の分野でも適用する必要があるなどと述べた。