Trusted DesignCVE-2020-12812 の詳細
CVEの情報
説明:
An improper authentication vulnerability in SSL VPN in FortiOS 6.4.0, 6.2.0 to 6.2.3, 6.0.9 and below may result in a user being able to log in successfully without being prompted for the second factor of authentication (FortiToken) if they changed the case of their username.
CVE更新日: 2020-07-24 23:15:12.003000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.453790000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2020-12812は、Fortinet FortiOSのSSL VPNコンポーネントにおける不適切な認証の脆弱性です。この脆弱性により、攻撃者は特定の条件下で多要素認証（MFA）をバイパスし、FortiOSで保護されたシステムへの不正アクセスが可能になります。
1. 脆弱性の概要
CVE-2020-12812は、Fortinet FortiOS SSL VPNの不適切な認証の脆弱性であり、攻撃者がログインプロセス中にユーザー名の大文字・小文字を変更するだけで、二要素認証（FortiToken）をバイパスできるというものです。
1.1 影響 この脆弱性が悪用されると、攻撃者は二要素認証で保護されているシステムへ不正にアクセスできるようになり、データ漏洩、システムの侵害、ランサムウェアの展開など、さまざまな悪意ある活動につながる可能性があります。 これにより、リモートアクセスのセキュリティ制御が完全に損なわれます。 具体的には、多要素認証なしでの管理者アクセスやVPNアクセスが可能となり、場合によってはシステムが侵害され、認証情報のリセットを要求される事態に陥ることもあります。
1.2 深刻度 CVSS v3.1基本スコアは9.8（緊急）であり、高い深刻度を示しています。 また、CVSS v2.0基本スコアは7.5（高）です。 この脆弱性は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の「既知の悪用されている脆弱性（KEV）カタログ」に掲載されており、実環境で積極的に悪用されていることが確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン 以下のFortiOSのバージョンが影響を受けます。 * FortiOS 6.4.0 * FortiOS 6.2.0 から 6.2.3 * FortiOS 6.0.9 およびそれ以前
2.2 影響を受ける設定 この脆弱性は、以下の特定の構成が揃っている場合にトリガーされます。 * FortiGate上に二要素認証（2FA）が設定されたローカルユーザーが存在し、それがLDAPを参照していること。 * これらのユーザーがLDAPサーバー上のグループのメンバーであること。 * 二要素認証ユーザーが所属するLDAPグループがFortiGate上に少なくとも1つ設定されており、そのグループが認証ポリシー（例：管理者ユーザー、SSL、IPsec VPNなど）内で使用されていること。
この脆弱性の根本原因は、FortiOSがデフォルトでユーザー名を大文字と小文字を区別して扱うのに対し、LDAPディレクトリが区別しないことによる不整合にあります。
3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策 Fortinetは、以下のバージョンへのアップグレードを推奨しています。 * FortiOS 6.4.1 以降 * FortiOS 6.2.4 以降 * FortiOS 6.0.10 以降
詳細なパッチ情報については、FortiGuard Security Advisoryを参照してください。
4.2 暫定回避策（緩和策） 直ちにパッチを適用できない場合、以下の対策が推奨されます。 * すべてのローカルアカウントに対して
set username-case-sensitivity disableを設定する。この設定はFortiOS 6.0.10、6.2.4、6.4.1以降のバージョンで導入されています。 * 可能であれば、ディレクトリサービスレベル（LDAP/AD）でユーザー名の大文字・小文字区別を有効にする。 * VPNポータルへのアクセスを既知のネットワークに制限するため、IPベースのアクセス制限を実装する。 * FortiTokenと併せてクライアント証明書などの追加認証コントロールを導入する。 * SSL VPNログインポータルで異常検知とレート制限を有効にして、悪用試行を検出する。 * 追加の検証を必要とする条件付きアクセスポリシーの実装を検討する。 * 不要なLDAPグループ設定を見直すか削除する。 * 高リスク環境では、パッチ適用が完了するまでSSL VPNアクセスを一時的に無効にすることも検討する。 * FortiAuthenticatorを使用してLDAPユーザーとトークンを関連付けることで、FortiGateでの大文字・小文字の区別の問題を回避する。 * すべての管理者セッションおよびVPNセッションを終了し、認証情報をリセットする。特にインターネットに公開されているシステムについては、強力なパスワードポリシーを適用する。追記すべき観点
参照したサイト