Fortinetが複数製品の脆弱性を開示、FortiWebの「Critical」な脆弱性など：CVE-2025-25257他

Fortinetが複数製品の脆弱性を開示、FortiWebにおける「Critical」評価の脆弱性など：CVE-2025-25257、CVE-2025-47856、CVE-2024-52965他

FortiGuardLabs – Jul 8, 2025

Fortinetは7月8日、各種製品における脆弱性数件に関するPSIRTアドバイザリをリリース。これには、FortiWebにおける深刻度が「Critical（緊急）」評価の脆弱性CVE-2025-25257が含まれている。

CVE-2025-25257は、FortiWebの以下のバージョンに影響を与えるSQLインジェクションの脆弱性。認証されていない攻撃者が悪用に成功した場合、細工されたHTTPまたはHTTPSリクエストを通じて不正なSQLコードやコマンドを実行される恐れがあるという。

• FortiWeb 7.6：7.6.0〜7.6.3
• FortiWeb 7.4：7.4.0〜7.4.7
• FortiWeb 7.2：7.2.0〜7.2.10
• FortiWeb 7.0：7.0.0〜7.0.10

CVSS（V3）スコアが9.6、深刻度は「Critical」と評価されるこの脆弱性への対処策は、FortiWeb 7.6.4以降、7.4.8以降、7.2.11以降、または7.0.11以降へのアップグレード。またFortinetは、HTTP/HTTPS管理インターフェースを無効化するというワークアラウンドも提示している。なお、アドバイザリにはこの脆弱性の悪用に関する記載は無い。

上記のほか、8日に開示されたFortinet製品の脆弱性には以下が含まれる。

• CVE-2025-47856（High、CVSS 7.2）：FortiVoiceにおけるOSコマンドインジェクションの脆弱性。特権を持つ攻撃者に悪用された場合、細工されたHTTP/HTTPSまたはCLIリクエストを通じた任意コードまたはコマンドの実行が可能になる恐れがある。
• CVE-2024-52965（Medium、CVSS 6.8）：FortiOSおよびFortiProxyにおける、認証の重要なステップの欠如に起因する脆弱性。APIキーとPKI証明書を組み合わせて認証を行っているAPIユーザーは、この脆弱性により証明書が無効だったとしてもログインすることが可能になる恐れがある。
• CVE-2024-55599（Medium、CVSS 4.9）：FortiOSおよびFortiProxyにおける、不適切に実装されたセキュリティチェックの脆弱性。認証されていないリモートのユーザーは、この脆弱性によりApple製デバイスを通じてDNSフィルターをバイパスできるようになる恐れがある。
• CVE-2025-24477（Medium、CVSS 4.0）：FortiOSのcw_stadデーモンにおける、ヒープベースのバッファオーバーフローの脆弱性。認証済みの攻撃者に悪用された場合、特別に細工されたリクエストを通じて任意のコードまたはコマンドを実行される恐れがある。

このほかの脆弱性については、PSIRTアドバイザリページから確認できる。

【無料配布中！】インテリジェンス要件定義ガイド

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価