Trusted Design

CVE-2024-23113 の詳細

CVEの情報

説明:
A use of externally-controlled format string in Fortinet FortiOS versions 7.4.0 through 7.4.2, 7.2.0 through 7.2.6, 7.0.0 through 7.0.13, FortiProxy versions 7.4.0 through 7.4.2, 7.2.0 through 7.2.8, 7.0.0 through 7.0.14, FortiPAM versions 1.2.0, 1.1.0 through 1.1.2, 1.0.0 through 1.0.3, FortiSwitchManager versions 7.2.0 through 7.2.3, 7.0.0 through 7.0.3 allows attacker to execute unauthorized code or commands via specially crafted packets.

CVE更新日: 2024-02-15 14:15:46.503000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2024-10-09

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.617250000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-23113は、Fortinet社製品のfgfmdデーモンに存在するリモートコード実行の脆弱性です。米国サイバーセキュリティ・社会基盤安全保障庁（CISA）の既知の悪用された脆弱性（KEV）カタログに追加されており、実世界での活発な悪用が確認されています。

1. 脆弱性の概要

Fortinet FortiOS、FortiProxy、FortiPAM、およびFortiSwitchManager製品のfgfmdデーモンにおける、外部から制御可能なフォーマット文字列の脆弱性（CWE-134）です。 認証されていないリモートの攻撃者が、特別に細工されたパケットを送信することで、影響を受けるデバイス上で任意のコードまたはコマンドを実行する可能性があります。

1.1 影響

  • 認証されていない攻撃者が、ネットワーク経由でFortinetアプライアンス上で任意のコードを実行できるリモートコード実行（RCE）の脆弱性です。
  • ユーザーの操作なしに攻撃が可能です。
  • データ窃盗、監視、および影響を受けるシステムの完全な侵害といった重大なリスクをもたらします。

1.2 深刻度

  • CVSSv3スコアは9.8で、「緊急（Critical）」に分類されています。

2. 対象となる環境

2.1 影響を受ける製品およびバージョン

以下のFortinet社製品の特定のバージョンが影響を受けます。

  • FortiOS:
    • 7.4.0 から 7.4.2
    • 7.2.0 から 7.2.6
    • 7.0.0 から 7.0.13
    • FortiOS 6.x系は本脆弱性の影響を受けません。
  • FortiProxy:
    • 7.4.0 から 7.4.2
    • 7.2.0 から 7.2.8
    • 7.0.0 から 7.0.14 (他の情報源では7.0.15まで影響と記載されているものもあります)
  • FortiPAM:
    • 1.2.0 (1.2系すべてのバージョン)
    • 1.1.0 から 1.1.2 (1.1系すべてのバージョン)
    • 1.0.0 から 1.0.3 (1.0系すべてのバージョン)
  • FortiSwitchManager:
    • 7.2.0 から 7.2.3
    • 7.0.0 から 7.0.3

2.2 影響を受ける設定

  • FortiGateデバイスとFortiManager間の通信を処理するfgfmdデーモンに脆弱性が存在します。
  • インターフェース上で「FMGアクセス」（FGFMアクセス）が有効になっている場合、本脆弱性の影響を受けます。 「FMGアクセス」はFortiManagerによる一元管理を許可する設定です。
  • 各インターフェースでfgfmアクセスが許可されていない場合、本脆弱性の影響はありません。

3. 影響を受けた時の兆候

  • 不審なIPアドレス範囲からのリクエストや、対応するセッションログがないユーザーからのリクエストを含む、異常なHTTPアクティビティ。
  • 設定ファイルの変更、不正なシステム再起動、または認識されていない実行可能ファイルの存在。
  • 承認された変更履歴がないFortinet管理インターフェース上の管理者アカウントの変更。
  • システムイベントログに記録されたfgfmdプロセスのクラッシュまたは再起動。

検出戦略: * FGFMトラフィック内で、%s、%n、%xなどのフォーマット指定子シーケンスを検査する。 * Fortinetアプライアンスの認証、設定変更、およびネットワーク接続イベントを相関させて、エクスプロイト後の活動を特定する。

監視推奨事項: * FortinetのsyslogおよびFGFMセッションログを集中SIEMに転送して保持・相関させる。 * ドキュメント化されたFortiManager管理ネットワーク外のソースからTCPポート541へのインバウンド接続試行を監視し、アラートを発する。 * Fortinetアプライアンスの構成変更、ファームウェア変更、および新規VPNトンネルを監視する。

4. 推奨対策

4.1 本対策

Fortinet社から提供されている、脆弱性が修正されたバージョンへのアップグレードが推奨されます。 十分なテストを実施した上で、修正済みバージョンの適用を検討してください。

  • FortiOS:
    • 7.4.3 以降
    • 7.2.7 以降
    • 7.0.14 以降
  • FortiProxy:
    • 7.4.3 以降
    • 7.2.9 以降
    • 7.0.16 以降
  • FortiPAM:
    • 1.2.1 以降
  • FortiSwitchManager:
    • 7.2.4 以降
    • 7.0.4 以降

アップグレードパスについては、Fortinet社のアップグレードツール（https://docs.fortinet.com/upgrade-tool）を参照することが推奨されています。

4.2 暫定回避策（緩和策）

バージョンアップがすぐにできない場合、以下の回避策を検討してください。

  • 各インターフェースからfgfmアクセス設定を削除する。
    • これにより、FortiManagerからのFortiGateの検出機能には影響しますが、FortiGateからの接続は引き続き可能です。
    • GUIの場合：インターフェースの管理アクセスで「FMGアクセス」が許可されていないことを確認する。
    • CLIの場合：config system interfaceコマンドで各インターフェースのset allowaccessにfgfmが含まれていないことを確認し、含まれている場合は削除する。
  • FGFMサービス（TCPポート541）へのアクセスを、許可されたFortiManagerホストのみに制限する。
    • これは攻撃対象領域を減らす緩和策ですが、許可されたIPからの悪用を防ぐものではないため、完全な回避策とはなりません。
  • 以前に悪用された兆候がないか、アプライアンスを監査する。
  • パッチ適用前にインターネットに公開されていたデバイスについて、管理者認証情報をローテーションし、設定変更を確認する。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る