各位

JPCERT-AT-2022-0032
JPCERT/CC
2022-12-13（新規）
2022-12-19（更新）

JPCERT/CC Alert 2022-12-13

FortiOSのヒープベースのバッファーオーバーフローの脆弱性（CVE-2022-42475）に関する注意喚起

https://www.jpcert.or.jp/at/2022/at220032.html


I. 概要2022年12月12日（現地時間）、FortinetはFortiOS SSL-VPNにおけるヒープベースのバッファーオーバーフローの脆弱性（CVE-2022-42475）に関するアドバイザリ（FG-IR-22-398）を公開しました。本脆弱性が悪用されると、認証されていない遠隔の第三者が、細工したリクエストを送信し、任意のコードやコマンドを実行する可能性があります。

Fortinet
FortiOS - heap-based buffer overflow in sslvpnd
https://www.fortiguard.com/psirt/FG-IR-22-398

Fortinetは、本脆弱性を悪用する攻撃を確認しています。影響を受ける製品を利用している場合、Fortinetが提供する最新の情報をご確認の上、対策の適用に加え、脆弱性を悪用する攻撃の被害を受けていないか確認するための速やかな調査実施を推奨します。


II. 対象対象となる製品およびバージョンは次のとおりです。

- FortiOS バージョン 7.2.0から7.2.2まで
- FortiOS バージョン 7.0.0から7.0.8まで
- FortiOS バージョン 6.4.0から6.4.10まで
- FortiOS バージョン 6.2.0から6.2.11まで
- FortiOS バージョン 6.0.0から6.0.15まで
- FortiOS バージョン 5.6.0から5.6.14まで
- FortiOS バージョン 5.4.0から5.4.13まで
- FortiOS バージョン 5.2.0から5.2.15まで
- FortiOS バージョン 5.0.0から5.0.14まで
- FortiOS-6K7K バージョン 7.0.0から7.0.7まで
- FortiOS-6K7K バージョン 6.4.0から6.4.9まで
- FortiOS-6K7K バージョン 6.2.0から6.2.11まで
- FortiOS-6K7K バージョン 6.0.0から6.0.14まで

** 更新: 2022年12月14日追記 ****************
2022年12月13日（現地時間）、Fortinetのアドバイザリが更新され、本脆弱性の影響を受ける対象バージョンとして、FortiOSバージョン6.0系、5系が追加されたため、上記の一覧の情報も更新しました。
**************************************************


III. 対策Fortinetから本脆弱性を修正したバージョンへのアップグレードが推奨されています。修正済みバージョンの適用をご検討ください。

- FortiOS バージョン 7.2.3あるいはそれ以降
- FortiOS バージョン 7.0.9あるいはそれ以降
- FortiOS バージョン 6.4.11あるいはそれ以降
- FortiOS バージョン 6.2.12あるいはそれ以降
- FortiOS バージョン 6.0.16あるいはそれ以降
- FortiOS-6K7K バージョン 7.0.8あるいはそれ以降
- FortiOS-6K7K バージョン 6.4.10あるいはそれ以降
- FortiOS-6K7K バージョン 6.2.12あるいはそれ以降
- FortiOS-6K7K バージョン 6.0.15あるいはそれ以降

** 更新: 2022年12月19日追記 ****************
Fortinetのアドバイザリが更新され、修正済みバージョンとしてFortiOSバージョン6.0系に関する情報が追加されたため、上記一覧の情報も更新しました。最新の情報はFortinetのアドバイザリをご確認ください。
**************************************************


IV. 推奨対応Fortinetは、本脆弱性を悪用する攻撃を確認しており、対策の適用に加えて、脆弱性を悪用する攻撃の被害を受けていないか確認するため、次のような調査の実施を推奨しています。

- 機器ログに脆弱性の悪用を示すログが記録されていないか
- 機器に不審なファイルが設置されていないか
- 機器から不審な通信先への通信が発生していないか

Fortinetが公開するアドバイザリには、本脆弱性が悪用された可能性を示すログ、攻撃で確認された痕跡であるファイル名や通信先が掲載されています。調査を行う上で参考にしてください。詳細および最新の情報については、Fortinetが提供する情報をご確認ください。

** 更新: 2022年12月14日追記 ****************
2022年12月13日（現地時間）、Fortinetのアドバイザリが更新され、本脆弱性の回避策としてSSL-VPN機能の無効化が追加されています。
**************************************************

** 更新: 2022年12月19日追記 ****************
Fortinet Community
Technical Tip: [Critical vulnerability] Protect against heap-based buffer overflow in sslvpnd
https://community.fortinet.com/t5/FortiGate/Technical-Tip-Critical-vulnerability-Protect-against-heap-based/ta-p/239420
**************************************************


V. 参考情報
Fortinet
FortiOS - heap-based buffer overflow in sslvpnd
https://www.fortiguard.com/psirt/FG-IR-22-398


今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

________
改訂履歴
2022-12-13 初版
2022-12-14 「II. 対象」「IV. 推奨対応」の追記
2022-12-19 「III. 対策」「IV. 推奨対応」の追記

==============================
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
早期警戒グループ
Email：ew-info@jpcert.or.jp