-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 各位 JPCERT-AT-2022-0025 JPCERT/CC 2022-10-11（新規） 2022-10-14（更新） <<< JPCERT/CC Alert 2022-10-11 >>> Fortinet製FortiOS、FortiProxyおよびFortiSwitchManagerの認証バイパスの脆弱性（CVE-2022-40684）に関する注意喚起 https://www.jpcert.or.jp/at/2022/at220025.html I. 概要 2022年10月10日（現地時間）、FortinetはFortiOS、FortiProxyおよび FortiSwitchManagerにおける認証バイパスの脆弱性（CVE-2022-40684）に関す るアドバイザリ（FG-IR-22-377）を公開しました。本脆弱性が悪用されると、 認証されていない遠隔の第三者が、同製品の管理インタフェースに細工した HTTPあるいはHTTPSリクエストを送信し、結果として任意の操作を行う可能性 があります。 Fortinet FortiOS / FortiProxy / FortiSwitchManager - Authentication bypass on administrative interface（FG-IR-22-377） https://www.fortiguard.com/psirt/FG-IR-22-377 Fortinetは、本脆弱性を悪用する攻撃を確認しています。影響を受ける製品を 利用している場合、Fortinetの情報をご確認の上、対策や回避策の適用に加え、 脆弱性を悪用する通信有無の調査を速やかにご検討いただくことを推奨します。 II. 対象 対象となる製品およびバージョンは次のとおりです。 - FortiOS バージョン7.2.0から7.2.1まで - FortiOS バージョン7.0.0から7.0.6まで - FortiProxy バージョン7.2.0 - FortiProxy バージョン7.0.0から7.0.6まで - FortiSwitchManager バージョン7.2.0 - FortiSwitchManager バージョン7.0.0 III. 対策 Fortinetから本脆弱性を修正したバージョンへのアップグレードが推奨されてい ます。十分なテストを実施の上、修正済みバージョンの適用をご検討ください。 - FortiOS バージョン7.2.2あるいはそれ以降 - FortiOS バージョン7.0.7あるいはそれ以降 - FortiProxy バージョン7.2.1あるいはそれ以降 - FortiProxy バージョン7.0.7あるいはそれ以降 - FortiSwitchManager バージョン7.2.1あるいはそれ以降 IV. 回避策 本脆弱性に対する回避策として、Fortinetから次のいずれかの対応の実施が推 奨されています。製品ごとの回避策や詳細な設定方法については、Fortinetが 提供する情報を参照してください。 - HTTP/HTTPS管理インタフェースを無効化する - 管理インタフェースへ接続可能なIPアドレスを制限する V. 関連情報 Fortinetは、本脆弱性を悪用する攻撃を確認しており、製品の機器ログから脆 弱性を悪用する通信有無を確認することを推奨しています。 また、本脆弱性を修正するパッチを解析した米セキュリティ会社Horizon3.aiが、 今週中に脆弱性の解説や実証コード（Proof-of-Concept）を公開するとツイー トしています。 Twitter Horizon3 Attack Team@Horizon3Attack https://twitter.com/Horizon3Attack/status/1579285863108087810 ** 更新: 2022年10月14日追記 ****************************************** 2022年10月13日（現地時間）、本脆弱性の詳細を解説する記事や実証コード （Proof-of-Concept）が公開されています。脆弱性を悪用し、管理者ユーザー として認証を行うためのSSH公開鍵認証の設定を追加する方法が解説されてい ます。今後、本脆弱性を悪用する攻撃が増加する可能性があるため、Fortinet が提供する情報をご確認の上、速やかな対策や回避策の適用および調査の実施 を推奨します。 ********************************************************************** VI. 参考情報 Fortinet FortiOS / FortiProxy / FortiSwitchManager - Authentication bypass on administrative interface（FG-IR-22-377） https://www.fortiguard.com/psirt/FG-IR-22-377 今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまで ご連絡ください。 ________ 改訂履歴 2022-10-11 初版 2022-10-14 「V. 関連情報」の追記 ====================================================================== 一般社団法人JPCERTコーディネーションセンター（JPCERT/CC） 早期警戒グループ Email：ew-info@jpcert.or.jp -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJjSLHhAAoJEDoQgdvpn3qqIdAP/ROSsdB2BBhqouECnUiYA2Tn ul38h1QZePyY7n2M57YTRwL5He1/cOdlE9XQOyhNAAaXv543IslEZax3KORsHvLG kjFPJIv+i8A1R/rJH3df5cGonswKk23A1MZ5ucV7eJa5KaS1p3XyqhXzEJV2BYCh t9ILkpbVSyFseNgq9DYDhWIMhF1uPnfbtt8kDOm1cbqolB7Z/toaS9uqZs3Cjo14 i13Wd+m1R/BQpXa7V+d038Jbvai9N5ju7IsMxtvJOrlFBx8W5QTPN3mwztq9a265 pG0xfWXr7ydIdHKa8ajo2BNPXh18CKlySUeQvCZSn7Y9uRP8aDs+dh2oEeQujbxG mFGNKndYNW8u5Mwij0kFJScN80OJi2EvamGRuSw1hRS49INGIwGVwh8N3Y+p2r6n NR4Zgw9UTdS8kDNVB6J+v1bs0FhPr0US/dat72hjGOuPafjbmArzQuZ+7Awdk1H3 AkM+ly0eSPsk9RQBqfrRiELbeCRZ67jckmhDS3uchH4y1y6GKFN2sp0FuAUVAo/j seAEHoQmzJWIkaqJZgZ6c2xoboQ8k1b4zPjjCeSKvdgeLyUH91e2K3Vr3xfpDv64 efRrmnRqtHhfKOK0Hfywq2Tvqpn4YaunGy1vGSujtSfDBeTv98yI2GgF18NlwStD ch0nhl5yods6FC7z0+2+ =k4GQ -----END PGP SIGNATURE-----