Trusted Design

解説:

CVE-2021-44168は、Fortinet社のFortiOSにおける脆弱性です。

1. 脆弱性の概要

1.1 影響

FortiOSのexecute restore src-visコマンドに、整合性チェックを行わないコードダウンロードの脆弱性が存在します。これにより、ローカルで認証された攻撃者が、特別に細工された更新パッケージを介してデバイス上に任意のファイルをダウンロードし、任意のコードを実行（リモートからのルートシェル取得を含む）する可能性があります。

1.2 深刻度

• CVSS v3.0 Base Score: 7.8 (High)
• CVSSv4: 8.7 本脆弱性は、CISAの「Known Exploited Vulnerabilities (KEV)」カタログにも含まれており、実際に悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

FortiOSの以下のバージョンが影響を受けます。 * 7.0.3より前のFortiOSバージョン * 6.4.8より前のFortiOSバージョン（6.4.7以下） * 6.2.10より前のFortiOSバージョン（6.2.9以下） * 6.0.14より前のFortiOSバージョン（6.0.13以下）

2.2 影響を受ける設定

この脆弱性は、FortiOSのexecute restore src-visコマンドの機能に存在します。脆弱性の悪用にはローカル認証された攻撃者が必要とされています。

3. 影響を受けた時の兆候

攻撃を受けた場合の兆候（IoC: Indicators of Compromise）として、以下の情報がFortinet社より公開されています。

• FortiGateデバイス上の予期せぬファイル:
  • /data2/virc.dat
  • /data2/vire
  • /data2/vire.tar.gz
  • /data2/vire.tar
  • /data2/vird
  • /data2/gettd
  • その他、fnsysctl lsコマンドで確認できる予期せぬファイル
• FortiGateデバイス上で実行されている予期せぬプロセス:
  • fnsysctl psコマンドでash -c /bin/flcfgtやash -c /data2/smartctlなどの予期せぬプロセスが確認される場合。
• FortiGateデバイスからの予期せぬトラフィック:
  • コマンド＆コントロール（C&C）サーバー（例: 192.46.213.244, 172.105.181.67）へのポート7443（平文HTTP）での通信。

4. 推奨対策

4.1 本対策

FortiOSを以下の修正済みバージョンにアップグレードすることを強く推奨します。 * FortiOS 6.0.14 以降 * FortiOS 6.2.10 以降 * FortiOS 6.4.8 以降 * FortiOS 7.0.3 以降 修正バージョンでは、脆弱性の原因となったexecute restore src-visコマンドが削除されています。

4.2 暫定回避策（緩和策）

明示的な暫定回避策は、参照した情報からは確認できませんでした。本脆弱性の悪用にはローカル認証が必要なため、デバイスへのアクセス制御を強化することが一般的なセキュリティ対策として挙げられます。

他に解説すべき観点

• 悪用コードの存在: 本脆弱性を悪用するエクスプロイトコードが公開されています。
• CISA KEVへの登録: 米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) の「Known Exploited Vulnerabilities Catalog」に登録されており、現実世界での悪用が確認されているため、迅速な対応が求められます。

参照したサイト

• CVE-2021-44168: Fortinet FortiOS Arbitrary File Download - Safeguard
• CVE-2021-44168 — Fortinet FortiOS Vulnerability | TAGSIA
• GitHub - 0xhaggis/CVE-2021-44168: A download of code without integrity check vulnerability in the "execute restore src-vis" command of FortiOS before 7.0.3.
• 「FortiOS」に脆弱性、すでに悪用も - 侵害状況の確認を - Security NEXT
• SB2022022111 - Missing integrity check in FortiGate FortiOS - Cybersecurity Help
• Fortinet Fortigate Removal of restore src-vis command (FG-IR-21-201) - Tenable
• CVE-2021-44168 Fortinet FortiOS Restore 权限提升(FG-IR-21-201 / Nessus ID 209722)
• Active Exploitation of Unpatched Vulnerabilities in Fortinet Products | Cyber Security Agency of Singapore
• Removal of restore src-vis command - PSIRT | FortiGuard Labs