Trusted Design

解説:

CVE-2023-48788に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2023-48788は、Fortinet FortiClient EMS (Enterprise Management Server) アプリケーションに存在する深刻なSQLインジェクションの脆弱性です。この脆弱性は、SQLコマンドで使用される特殊な要素の不適切な無害化に起因し、認証されていない攻撃者が特別に細工されたリクエストを介して、不正なコードまたはコマンドを実行することを可能にします。

1.1 影響

本脆弱性が悪用されると、認証されていない攻撃者がSYSTEMレベルのコードおよびコマンドを実行できる可能性があります。これにより、攻撃者はシステムへの不正アクセスを獲得し、リモートコード実行 (RCE) につながる可能性があります。

悪用後、攻撃者は不正なリモート監視および管理 (RMM) ツールやPowerShellバックドアをインストールしていることが観測されています。これにより、偵察、コマンド＆コントロール (C2) の確立、ネットワーク内の横移動、機密データへのアクセスなど、さらなる悪意のある活動が行われる可能性があります。攻撃者はSQLステートメントを介して xp_cmdshell を有効にし、cmd.exe を使用して任意のコマンドを実行することも可能です。

1.2 深刻度

この脆弱性の深刻度は「Critical（緊急）」と評価されており、CVSSスコアは9.8です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、Fortinet FortiClient EMSアプリケーションに影響を与えます。影響を受けるFortiClient EMSのバージョンは以下の通りです。

• FortiClient EMS 7.0.1 から 7.0.10
• FortiClient EMS 7.2.0 から 7.2.2

2.2 影響を受ける設定

FortiClient EMSアプリケーションの一部である FCMdaemon プロセスは、デフォルトでポート8013で受信リクエストをリッスンしています。このポートが悪用され、特別に細工されたメッセージがこのプロセスに送信されることで脆弱性が悪用されます。 FCTDas.exe (Data Access Server) は、リクエストをSQLリクエストに変換し、Microsoft SQL Serverデータベースと連携します。 MSSQLにおいて、デフォルトでは xp_cmdshell は無効化されていますが、攻撃者によってコマンド実行のために再有効化される可能性があります。

3. 影響を受けた時の兆候 (IoC: Indicators of Compromise)

影響を受けた際の兆候としては、以下の活動が挙げられます。

• ポート8013で FCMdaemon プロセスへの外部からのネットワーク接続。
• 不正なRMMツール (例: Atera, ScreenConnect, AnyDesk) やPowerShellバックドアのダウンロードおよび実行の試み。
• \MSSQL14.FCEMS\ ディレクトリから sqlservr.exe プロセスが cmd.exe インスタンスを生成している。
• Microsoft SQLログにおける xp_cmdshell コマンド実行の証拠。
• webbrowserpassview.exe、Mimikatz、netpass64.exe、netscan.exe などのツールの展開。
• C2フレームワーク (例: Sliver C2) に関連する疑わしい外部IPアドレスとの通信。
• システム上で不正なRMMツールやバックドアの存在。

4. 推奨対策

4.1 本対策

以下のバージョンへFortiClient EMSをアップグレードしてください。

• 7.0.11 以降
• 7.2.3 以降

Fortinetは「FG-VD-54509.0day:FortiClientEMS」という仮想パッチもリリースしています。

4.2 暫定回避策（緩和策）

直ちにパッチを適用できない組織に対しては、以下の対策が推奨されます。

• プロセスの系統、ネットワーク接続、および不正なRMMツールの存在を通じて、悪用後の活動を検出する。
• 不正なRMMツールやバックドアに関連する活動に対する緩和制御または検出制御を開発する。
• 可能であれば、ポート8013への外部からのアクセスを信頼できるソースのみに制限する。
• MSSQLにおいて xp_cmdshell がデフォルトで無効になっていることを確認し、意図せず有効化されていないか監視する。

参照したサイト

• Holding down the Fortinet vulnerability - Red Canary
• FortiClient EMS Exploited: Attack Chain & Post Exploitation Tactics - Darktrace
• CVE-2023-48788: Fortinet FortiClient EMS SQL Injection Deep Dive - Horizon3.ai
• CVE-2023-48788 - CVE Record
• CVE-2023-48788の影響について｜技術関連情報｜Fortinet Info Hub - 図研ネットウエイブ
• Fortinet EMS の脆弱性 CVE-2023-48788：悪用に関する詳細が公開 – Darktrace
• CISA KEV 警告 24/03/25：Fortinet FortiClient EMS の脆弱性 CVE-2023-48788 の悪用
• March 29, 2024: Fortinet FortiClientEMS RCE via SQL injection CVE-2023-48788 - Censys
• CVE-2023-48788: Revisiting Fortinet FortiClient EMS to Exploit 7.2.X - Horizon3.ai
• Recent Fortinet FortiClient EMS Vulnerability Exploited in Attacks - SecurityWeek
• Fortinet FortiClientEMS SQL注入漏洞(CVE-2023-48788) 安全通告 - 安全内参
• Fortinet FortiClientEMS存在高風險安全漏洞(CVE-2023-48788)，請儘速確認並進行修補
• horizon3ai/CVE-2023-48788: Fortinet FortiClient EMS SQL Injection - GitHub
• Fortinet FortiClient EMS SQL 注入漏洞（CVE-2023-48788） - 知道创宇Seebug 漏洞平台
• 黑客利用Fortinet EMS 的关键漏洞部署远程访问工具 - 安全客
• Widespread Exploitation of Fortinet Vulnerability (CVE-2023-48788) - eSentire
• Fortinet Fixes Actively Exploited FORTICLIENT EMS Flaw Allowing Unauth | SecPod
• Medusa's methods: Ransomware group exploits FortiClient EMS for initial access - S-RM