Trusted Design

CVE-2024-47575 の詳細

CVEの情報

説明:
A missing authentication for critical function in FortiManager 7.6.0, FortiManager 7.4.0 through 7.4.4, FortiManager 7.2.0 through 7.2.7, FortiManager 7.0.0 through 7.0.12, FortiManager 6.4.0 through 6.4.14, FortiManager 6.2.0 through 6.2.12, Fortinet FortiManager Cloud 7.4.1 through 7.4.4, FortiManager Cloud 7.2.1 through 7.2.7, FortiManager Cloud 7.0.1 through 7.0.12, FortiManager Cloud 6.4.1 through 6.4.7 allows attacker to execute arbitrary code or commands via specially crafted requests.

CVE更新日: 2024-10-23 15:15:30.707000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2024-10-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.947660000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-47575について、以下の観点で解説します。

1. 脆弱性の概要

1.1 影響

Fortinet FortiManager の fgfmd デーモンにおける認証の欠如の脆弱性（CWE-306）により、認証されていない遠隔の攻撃者が特別に細工されたリクエストを送信することで、任意のコードまたはコマンドを実行できる可能性があります。この脆弱性が悪用されると、攻撃者はFortiManagerデバイスを完全に制御し、管理下のFortiGateデバイスの構成データやユーザー名、FortiOS256でハッシュ化されたパスワードなどの機密情報を窃取する可能性があります。これにより、FortiManagerをさらに侵害したり、管理対象のFortinetデバイスへのラテラルムーブメント（横展開）を行い、最終的に企業環境を標的とする可能性があります。

Mandiantは、UNC5820として追跡されている脅威グループが、2024年6月27日という早い時期からこの脆弱性を悪用し、設定データのステージングと外部への持ち出しを行っていたことを観測しています。 米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、この脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に即日追加しました。

1.2 深刻度

CVSSv3スコアは9.8（緊急）と評価されており、非常に深刻な脆弱性です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受けるFortiManagerおよびFortiManager Cloudのバージョンは以下の通りです。

  • FortiManager 7.6.0
  • FortiManager 7.4.0 から 7.4.4 まで
  • FortiManager 7.2.0 から 7.2.7 まで
  • FortiManager 7.0.0 から 7.0.12 まで
  • FortiManager 6.4.0 から 6.4.14 まで
  • FortiManager 6.2.0 から 6.2.12 まで
  • FortiManager Cloud 7.4.1 から 7.4.4 まで
  • FortiManager Cloud 7.2.1 から 7.2.7 まで
  • FortiManager Cloud 7.0.1 から 7.0.12 まで
  • FortiManager Cloud 6.4系 のすべてのバージョン

また、旧バージョンのFortiAnalyzer（1000E、1000F、2000E、3000E、3000F、3000G、3500E、3500F、3500G、3700F、3700G、3900E）も、以下の条件を満たす場合に本脆弱性の影響を受けます。

  • FortiAnalyzer上のFortiManagerで「fmg-status」が有効である
  • fgfm サービスが有効となっているインタフェースが1つ以上存在する

2.2 影響を受ける設定

この脆弱性は、FortiManagerのfgfmdデーモンにおける重要な機能に対する認証の欠如に起因します。FortiManagerとFortiGateデバイス間の通信を管理するfgfmsdサービスにおける認証が不十分であることが原因です。 少なくとも1つのインターフェースでfgfmサービスが有効になっている場合に脆弱性の影響を受けます。

3. 影響を受けた時の兆候

FortiManagerが侵害された場合の兆候として、以下の点が挙げられます。

  • FortiManagerからの予期せぬ外部への接続
  • コマンド利用ログにおける異常な急増
  • 不明なプロセスやファイルの存在
  • FortiManagerコンソールに不正なデバイス（シリアルナンバー "FMG-VMTM23017412" など）が表示される
  • TCP/541 ポートからの不審なインバウンド接続。特に 45[.]32[.]41[.]202 のIPアドレスからの接続が確認されています。
  • /tmp/.tm というGzip圧縮アーカイブに各種Fortinet設定ファイルがステージングされている。

Fortinetは、侵害調査方法として、脆弱性が悪用された可能性を示すログや攻撃元IPアドレス、シリアルナンバー、作成されたファイルの情報をアドバイザリで公開しています。

4. 推奨対策

4.1 本対策

Fortinetは、本脆弱性を修正した以下のバージョンへのアップグレードを推奨しています。

  • FortiManager 7.6.1 以降
  • FortiManager 7.4.5 以降
  • FortiManager 7.2.8 以降
  • FortiManager 7.0.13 以降
  • FortiManager 6.4.15 以降
  • FortiManager 6.2.13 以降

FortiManager Cloudについても、最新の修正済みバージョンへのアップグレードまたは修正済みのリリースへの移行が推奨されています。 JPCERT/CCは、十分なテストを実施した上で修正済みバージョンの適用を検討するよう呼びかけています。

4.2 暫定回避策（緩和策）

修正済みバージョンの適用がすぐにできない場合、Fortinetは以下の回避策を提供しています。

  • fgfm-deny-unknown の有効化: 7.0.12以上、7.2.5以上、7.4.3以上（バージョン7.6.0を除く）の場合、この設定を有効にすることで、不正なまたは未知のデバイスがFortiManagerに登録しようとするのを防ぐことができます。
  • ローカルインポリシーの実装: 承認されたFortiGateのIPアドレスをホワイトリスト化するローカルインポリシーを実装し、FGFMポート（TCP/541）へのアクセスを制限します。
  • カスタム証明書の使用:
  • 管理対象デバイスの資格情報の変更: 侵害が確認された場合、すべての管理対象デバイスの資格情報を速やかに変更することが推奨されます。

参照したサイト

  • Investigating FortiManager Zero-Day Exploitation (CVE-2024-47575) | Google Cloud Blog
  • Investigating FortiManager Zero-Day Exploitation (CVE-2024-47575) | Google Cloud Blog
  • CVE-2024-47575: Fortinet FortiManager Auth Bypass Flaw - SentinelOne
  • CVE-2024-47575 Impact, Exploitability, and Mitigation Steps | Wiz
  • Fortinet製品の新たな脆弱性・今すぐ確認すべき最新情報10選！ - KOTORA JOURNAL - コトラ
  • Fortinet製FortiManagerにおける重要な機能に対する認証の欠如の脆弱性（CVE-2024-47575）等に関する注意喚起 - JPCERT
  • FortiManager Remote Code Execution Vulnerability (CVE-2024-47575) - CUHK ITSC
  • A Deeper Look at FortiJump (FortiManager CVE-2024-47575) | Bishop Fox
  • 「FortiManager」の脆弱性悪用に注意喚起 - 米当局 - Security NEXT
  • 【脅威分析レポート】Fortinet製品に含まれている重要な脆弱性 | BLOG | サイバーリーズン
  • Rapid7 Analysis: CVE-2024-47575
  • Fortinet、ゼロデイ攻撃で悪用されたFortiManagerの脆弱性について警告：CVE-2024-47575
  • Fortinetの重大な脆弱性が発覚 - CVE-2024-47575とその対策について
  • Fortinet 製 FortiManager に重要な機能に対する認証の欠如の脆弱性 - ScanNetSecurity
  • Fortinet Updates Guidance and Indicators of Compromise following FortiManager Vulnerability Exploitation | CISA
  • CRITICAL: Fortinet FortiManager CVE-2024-47575 Special Report - Shadowserver
  • CVE-2024-47575: FortiManager Missing Authentication Zero-Day Vulnerability Explained
  • Fortinet FortiManager身份认证绕过漏洞(CVE-2024-47575) 在野利用通告 - 安全内参
  • UNC5820 利用FortiManager 零日漏洞(CVE-2024-47575) - 安全客
  • Fortinet 製 FortiManager に重要な機能に対する認証の欠如の脆弱性 - ScanNetSecurity
  • FortiManager のゼロデイ攻撃の調査（Investigating FortiManager Zero-Day Exploitation (CVE-2024-47575) | Google Cloud BlogCVE-2024-47575） | Google Cloud 公式ブログ
  • Fortijump-Exploit-CVE-2024-47575 — Fortinet Fortimanager における認証なしリモートコード実行 - Kitploit
  • FortiManager リモート未認証コード実行。 CVE-2024-47575 / CVSSv3 9.8 : r/sysadmin
  • セキュリティニュースアラート - ITmedia エンタープライズ
  • 過去の重要なお知らせ｜Fortinet製品サポートサイト
  • JVNDB-2024-014692 - JVN iPedia - 脆弱性対策情報データベース
  • 【号外】注意喚起：FortiOSの脆弱性情報 （CVE-2024-21762 - サービス&セキュリティ株式会社

NVDサイト

NVDでCVEの詳細を見る

戻る