Trusted Design

解説:

CVE-2022-41328に関する脆弱性調査結果は以下の通りです。

1. 脆弱性の概要

CVE-2022-41328は、Fortinet FortiOSにおけるディレクトリトラバーサル（Path Traversal）の脆弱性（CWE-22）です。

この脆弱性は、特権を持つ攻撃者が、細工されたCLI（コマンドラインインターフェース）コマンドを介して、基盤となるLinuxシステム上の任意のファイルを読み書きすることを可能にします。これにより、攻撃者はFortiOSコマンドラインインターフェースへの既存のアクセスを利用して、ディレクトリ制限を回避し、機密性の高いシステムファイルを操作して、デバイスの完全な侵害につながる可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者は以下のことが可能になります。 * 機密性の高い設定データの抽出、永続性のためのシステムファイルの変更、またはデバイスの再起動後も残存する悪意のあるコードの植え付け。 * OSファイルシステムの破損およびデータ損失。 * 機密性、完全性、可用性への影響。

この脆弱性は、政府機関や政府関連組織を標的とした高度な攻撃者によって積極的に悪用されています。

1.2 深刻度

• CVSSv3スコア: 7.1 (HIGH)。FortiGuard Labsでは6.5 (Medium) と報告している場合もあります。
• CISAのKnown Exploited Vulnerabilities (KEV) カタログ: 本脆弱性はCISAのKEVカタログに掲載されており、実環境で活発に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のFortiOSのバージョンが影響を受けます。 * FortiOSバージョン 7.2.0 から 7.2.3 まで * FortiOSバージョン 7.0.0 から 7.0.9 まで * FortiOSバージョン 6.4.0 から 6.4.11 まで * FortiOSバージョン 6.2.0 から 6.2.13 まで * FortiOS 6.0 のすべてのバージョン

2.2 影響を受ける設定

本脆弱性は、Fortinet FortiOSのCLIコマンド処理ロジックに存在します。根本原因は、パス名処理の不適切な制限にあり、ファイル操作を許可されたディレクトリに適切に制限できない点にあります。

FIPS（Federal Information Processing Standards）が有効なデバイスの場合、ファームウェアの整合性チェックに失敗すると、システムの整合性を保護するために自動的にシャットダウンするよう設定されていることがあります。

3. 影響を受けた時の兆候

以下の兆候が確認される場合があります。 * 通常のFortiOS運用ディレクトリ外のシステムファイルに対する予期せぬ変更。 * ディレクトリトラバーサルシーケンス（../）を含む疑わしいCLIコマンド履歴のエントリ。 * 機密性の高い設定ファイルや証明書への不正なアクセス。 * FortiOSシステムログにおける異常なファイルアクセスパターン。 * 攻撃者の永続化メカニズムを示す可能性のある、システムディレクトリ内の予期せぬファイルの存在。 * FIPSエラーメッセージ「System enters error-mode due to FIPS error: Firmware Integrity self-test failed」が表示され、システムが突然停止したり起動に失敗したりする。 * 不正なファームウェアイメージの変更（例: /sbin/init ファイルの変更、/bin/fgfm ファイルの追加）。

4. 推奨対策

4.1 本対策

• FortiOSをパッチ適用済みのバージョンに即座に更新してください。
  • FortiOS 7.2.x をご利用の場合: バージョン 7.2.4 以降にアップグレード。
  • FortiOS 7.0.x をご利用の場合: バージョン 7.0.10 以降にアップグレード。
  • FortiOS 6.4.x をご利用の場合: バージョン 6.4.12 以降にアップグレード。
  • FortiOS 6.2.x をご利用の場合: バージョン 6.2.14 以降にアップグレード。
• 完全なパッチ情報と追加のガイダンスについては、FortiGuard Security Advisory FG-IR-22-369を参照してください。

4.2 暫定回避策（緩和策）

• CLIアクセスログを定期的に確認し、悪用試行の証拠がないか監視してください。
• 既知の信頼できるIPアドレスからの許可された管理者のみにCLIアクセスを制限してください。
• すべてのFortiOS管理アクセスに多要素認証（MFA）を実装してください。
• 侵害が疑われるデバイスは、運用に戻す前にフォレンジック分析を実施してください。
• パッチが適用されるまで、CLIアクセスを信頼できる管理者のみに制限してください。
• FortiOS管理インターフェースへのアクセスを制限するために、厳格なネットワークセグメンテーションを実装してください。
• ユーザーからのトラフィックやインターネットから分離された、専用の管理ネットワークを使用してください。
• FortiOSアクセスプロファイルを通じて、不要なCLI機能やコマンドを可能な限り無効にしてください。
• パッチ適用まで、すべての管理アクセスを疑わしい活動がないか綿密に監視してください。

参照したサイト

• CVE-2022-41328: Fortinet FortiOS Path Traversal Flaw - SentinelOne
• CVE-2022-41328 Report - Details, Severity, & Advisories | Twingate
• CVE-2022-41328 - PSIRT | FortiGuard Labs
• CVE-2022-41328 - CVE Record
• CVE-2022-41328: Improper Limitation of a Pathname to a Restricted Directory - Rapid7
• Fortinet FortiOS Path Traversal Vulnerability (CVE-2022-41328) - Qualys ThreatPROTECT
• CVE Update: FortiOS Vulnerability - Whistic
• CVE-2022-41328: Fortinet FortiOS Path Traversal Vulnerability - Safeguard
• CVE-2022-41328 Fortinet FortiOS CLI path traversal - Vulnerability Database
• CVE-2022-41328 | Tenable®
• FortiOS zero-day vulnerability used in government-targeted attacks - Quorum Cyber
• cve/2022/CVE-2022-41328.md at main · trickest/cve - GitHub
• Exploitation of Recent Fortinet Zero-Day Linked to Chinese Cyberspies - SecurityWeek
• Analysis of FG-IR-22-369 | Fortinet Blog
• Fortinet RCE vulnerability - Tesorion