Fortinet 製 FortiOS、FortiProxy および FortiSwitchManager に脆弱性、悪用した攻撃を確認済み

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月11日、Fortinet 製 FortiOS、FortiProxy および FortiSwitchManager の脆弱性について発表した。影響を受けるシステムは以下の通り。

FortiOS バージョン 7.2.0 から 7.2.1 まで
FortiOS バージョン 7.0.0 から 7.0.6 まで
FortiProxy バージョン 7.2.0
FortiProxy バージョン 7.0.0 から 7.0.6 まで
FortiSwitchManager バージョン 7.2.0
FortiSwitchManager バージョン 7.0.0

　IPAによると、Fortinet 社は FortiOS、FortiProxy、FortiSwitchManager に関する脆弱性として、認証バイパスの脆弱性が確認されていると公表しており、認証されていない遠隔の第三者が同製品の管理インタフェースに細工した HTTP あるいは HTTPS リクエストを送信し、任意の操作を行う可能性がある。Fortinetでは、本脆弱性を悪用した攻撃を既に確認しており、製品の機器ログから脆弱性を悪用する通信有無を確認することを推奨している。

　IPAでは、開発者が提供する情報をもとに最新版へアップデートするか、HTTP/HTTPS 管理インタフェースを無効化する、または管理インタフェースへ接続可能な IP アドレスを制限する等の暫定的な回避策を実施するよう呼びかけている。