C21/100
脆弱性 · 緊急
FortiOSに複数の脆弱性 3件はクリティカル
ティアC · 経過を注視 – 影響を受けるか確認
影響を受ける人： FortiOSを搭載するFortinet製UTM機器の利用者
ティアCの理由： 開発者に影響
影響範囲
攻撃
被害
修正
人気ツール
要点
- Fortinetは、同社UTM機器に搭載されているOS「FortiOS」の複数の脆弱性を明らかにした
- このうち3件の重要度を「クリティカル」としている
- Fortinetは利用者に注意を呼びかけている
なぜ重要か
FortiOSを搭載するFortinet製UTM機器を運用する開発者やインフラ担当者は、自社環境で該当機器が使われているかを確認する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| はい | 開発者に影響 | FortiOSはファイアウォールやVPNなど企業が運用するネットワーク機器のOSであり、IT部門が責任を持つ |
| いいえ | 基幹インフラ | FortiOSは単一ベンダーFortinetの製品であり、ほぼすべてのチームが運用する基幹ソフトウェアではない |
| はい | 人気ツール | FortiOSは企業に広く普及したネットワーク機器のOSであり、多くの組織が利用している |
| いいえ | 悪用確認済み | Security NEXTは脆弱性の公表と重要度クリティカルの評価を伝えるが、実際の攻撃観測には触れていない |
| いいえ | 公開エクスプロイト | Security NEXTはFortinetのアドバイザリーに基づく報道で、エクスプロイトの公開については触れていない |
| いいえ | 認証不要のリモート攻撃 | Security NEXTは攻撃条件として認証不要やリモートからの悪用に関する記述をしていない |
| いいえ | 完全な乗っ取り | Security NEXTはコード実行や権限取得の可否について記述していない |
| いいえ | シークレットの流出 | Security NEXTは認証情報や設定データの流出について記述していない |
| いいえ | サプライチェーン | Security NEXTはFortiOSの脆弱性を報じており、正規配布経路の侵害やパッケージ汚染には触れていない |
| いいえ | 修正なし | Security NEXTは修正版の提供状況について記述していないため、確認できない |
タイムライン
Fortinetが FortiOSの複数の脆弱性を公表
Security NEXT
「FortiOS」に複数の脆弱性 - 3件が重要度「クリティカル」
出典
「FortiOS」に複数の脆弱性 - 3件が重要度「クリティカル」 ↗ Security NEXT · 1時間前