Trusted Design

CVE-2025-61624 の詳細

CVEの情報

説明:
An Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') [CWE-22] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.4, FortiOS 7.4.0 through 7.4.9, FortiOS 7.2 all versions, FortiOS 7.0 all versions, FortiOS 6.4 all versions, FortiPAM 1.7.0, FortiPAM 1.6 all versions, FortiPAM 1.5 all versions, FortiPAM 1.4 all versions, FortiPAM 1.3 all versions, FortiPAM 1.2 all versions, FortiPAM 1.1 all versions, FortiPAM 1.0 all versions, FortiProxy 7.6.0 through 7.6.4, FortiProxy 7.4.0 through 7.4.11, FortiProxy 7.2 all versions, FortiProxy 7.0 all versions, FortiSwitchManager 7.2.0 through 7.2.7, FortiSwitchManager 7.0.0 through 7.0.6 may allow an authenticated attacker with admin profile and at least read-write permissions to write or delete arbitrary files via specific CLI commands.

CVE更新日: 2026-04-14 16:16:31.300000

CVSSバージョン: 3.1

CVSSスコア: 6.0

KEVの情報

KEV更新日: 2026-10-16

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.005800000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-61624に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2025-61624は、複数のFortinet製品における不適切なパス名制限（Path Traversal、CWE-22）の脆弱性です。この脆弱性は、コマンドラインインターフェース（CLI）に存在し、認証された攻撃者（管理者プロファイルおよび読み書き権限を持つ）が特定のCLIコマンドを介して任意のファイルを書き込んだり削除したりすることを可能にします。

1.1 影響

この脆弱性が悪用されると、不正なファイルの変更や重要なシステムファイルの削除により、システムの完全性が完全に失われる可能性があります。これにより、デバイスが動作不能になる可能性もあります。 特に、この脆弱性は、高度な脅威アクターによって、これまで報告されていないメモリ常駐型ARM64マルウェアである「PEERSTITCH」を展開するために積極的に悪用されていることが確認されています。 PEERSTITCHはディスク上に永続的なバイナリを残さず、リスニングポートを開かず、外部へのネットワーク接続も開始しないため、従来の検出方法では見つけにくいステルス性の高いマルウェアです。

1.2 深刻度

  • CVSSスコア: 5.4 (中程度の深刻度を示します)
  • この脆弱性は、攻撃者がデバイスのCLIへのローカルアクセスと、管理者プロファイルと読み書き権限を持つ高い権限を必要とするため、攻撃対象領域は限定的です。 しかし、管理者の認証情報が侵害された場合や内部からの脅威のシナリオでは、許可されたディレクトリ外で任意のファイル操作が可能になります。
  • CISA (米国サイバーセキュリティ・インフラセキュリティ庁) は、このCVEを既知の悪用されている脆弱性（Known Exploited Vulnerabilities - KEV）カタログに追加しており、実際に悪用されていることと、それがもたらす重大なリスクを強調しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のFortinet製品とそのバージョンが影響を受けます。

  • FortiOS:
    • 7.6.0 から 7.6.4
    • 7.4.0 から 7.4.9
    • 7.2 全バージョン
    • 7.0 全バージョン
    • 6.4 全バージョン
  • FortiPAM:
    • 1.7.0
    • 1.6 全バージョン
    • 1.5 全バージョン
    • 1.4 全バージョン
    • 1.3 全バージョン
    • 1.2 全バージョン
    • 1.1 全バージョン
    • 1.0 全バージョン
  • FortiProxy:
    • 7.6.0 から 7.6.4
    • 7.4.0 から 7.4.11
    • 7.2 全バージョン
    • 7.0 全バージョン
  • FortiSwitchManager:
    • 7.2.0 から 7.2.7
    • 7.0.0 から 7.0.6

2.2 影響を受ける設定

この脆弱性は、Fortinet製品のコマンドラインインターフェース（CLI）に存在します。 悪用には、管理者プロファイルと少なくとも読み書き権限を持つ認証済み攻撃者が必要です。

3. 影響を受けた時の兆候

PEERSTITCHマルウェアの活動に関連する侵害の兆候には、以下のものがあります。

  • タグ付けされたVPNセッションの異常な活動
  • 管理アクティビティやコマンドラインアクティビティの異常
  • 予期しない設定変更
  • ファームウェアと再起動履歴の異常
  • マルウェアは感染ホスト上の正規のプロセスによって生成されるトラフィックを介して通信します。
  • 攻撃者がFortiManagerプラットフォームを装い、管理対象のファイアウォールから情報を引き出す可能性があります。

4. 推奨対策

4.1 本対策

  • パッチの適用: Fortinetは2026年4月にこの脆弱性に対するパッチをリリースしています。 影響を受ける製品を、パッチが適用された最新バージョンに速やかに更新することが強く推奨されます。
  • CISAは、すべての組織に対し、リスクベースの脆弱性管理を採用し、KEVカタログに記載されている脆弱性の修正を優先するよう奨励しています。
  • ファームウェアの修正が適切に行われたことを確認してください。

4.2 暫定回避策（緩和策）

  • この脆弱性はローカルアクセスと高い権限を必要とするため、管理者アクセスを厳しく管理し、不審な管理活動を監視することが一般的な緩和策となります。
  • PEERSTITCHの活動および関連する指標を監視してください。
  • タグ付けされたVPNセッションの活動を調査してください。
  • タグ付けされたVPNセッション、管理およびコマンドラインアクティビティ、予期しない設定変更、ファームウェアおよび再起動履歴に関連するローカルで利用可能な証拠を保全してください。

他に解説すべき観点

  • 脅威アクター: 既知の高度な脅威アクターがこの脆弱性を悪用していると疑われています。 このアクターは、初期アクセスにCVE-2024-47575（FortiJump）も悪用しており、CL-STA-0954（別名UNC5820）として追跡されています。 彼らはFortinetアプライアンスのアーキテクチャと内部プロトコルに関する高度な知識を示しています。
  • マルウェア: PEERSTITCHは、この脆弱性を介して展開される、これまで報告されていないメモリ常駐型ARM64マルウェアです。 ディスク上に永続的なバイナリを残さず、リスニングポートを開かず、外部へのネットワーク接続を開始しないように設計されており、高いステルス性を持っています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る