Trusted Design

解説:

CVE-2025-64446は、Fortinet FortiWebに影響を与える深刻な脆弱性です。以下にその詳細を解説します。

1. 脆弱性の概要

CVE-2025-64446は、Fortinet FortiWebのWebアプリケーションファイアウォール（WAF）製品における相対パストラバーサル脆弱性です。この脆弱性は、認証されていない攻撃者が特別に細工されたHTTPまたはHTTPSリクエストを介してシステム上で管理コマンドを実行することを可能にします。これにより、攻撃者はFortiWebの管理インターフェースで新しい管理者アカウントを作成したり、既存の管理者になりすましたりすることができます。

この脆弱性の悪用は、まずFortiWebアプリケーション内のシステムバイナリにアクセスするためにパス・トラバーサル脆弱性を使用し、次にリクエストボディがこのバイナリに渡され、攻撃者が認証済みユーザーを操作または作成できるようになるという2つのステップで機能します。

1.1 影響

成功した悪用により、攻撃者は脆弱なFortiWebアプライアンスに対する完全な管理制御を得ることができます。 これにより、セキュリティポリシーの変更、保護の無効化、または下流のユーザーになりすますことが可能になり、データ漏洩、アカウントの乗っ取り、およびサービス中断のリスクが高まります。 CISAは、CVE-2025-64446が初期アクセスベクターとして悪用され、その後CVE-2025-58034と組み合わせて標的システム上で権限を昇格させ、最終的に認証されていないリモートコード実行につながる可能性があることを認識しています。

1.2 深刻度

この脆弱性は「Critical（緊急）」と評価されており、CVSSv3スコアは9.8です。 CISAは、この脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加しており、積極的に悪用されていることを示しています。

2. 対象となる環境

2.1 影響を受けるFortiWebバージョン

以下のFortiWebバージョンが影響を受けます。

• FortiWeb 8.0.0 から 8.0.1
• FortiWeb 7.6.0 から 7.6.4
• FortiWeb 7.4.0 から 7.4.9
• FortiWeb 7.2.0 から 7.2.11
• FortiWeb 7.0.0 から 7.0.11

FortinetはFortiWeb 8.0.2でこの脆弱性を修正したとされています。

2.2 影響を受ける設定

不明。ただし、管理インターフェースがインターネットに公開されているFortiWebアプライアンスが特にリスクに晒されます。

3. 影響を受けた時の兆候

• 不正な管理者アカウントの追加。
• 不正な管理認証またはコマンドラインインターフェース（CLI）アクティビティを示す疑わしいログ。
• FortiWeb設定の予期せぬ変更。
• CISA KEVカタログへの追加日である2025年11月14日以前、特に2025年10月上旬からの悪用試行の兆候が見られます。

4. 推奨対策

4.1 本対策

• 影響を受けるFortiWeb製品を最新の修正バージョンにアップグレードする。 FortinetはFortiWeb 8.0.2でこの脆弱性を修正しています。 アップグレード後、設定を確認し、不正な管理者アカウントの追加や予期せぬ変更がないかログを確認することを推奨します。
• 組織のパッチ適用およびテストガイドラインに従い、潜在的な運用への影響を最小限に抑えます。

4.2 暫定回避策（緩和策）

• FortiWeb管理インターフェースへのHTTPおよびHTTPSアクセスをパブリックインターネットから制限する。 これは攻撃対象領域を減らし、リモート悪用のリスクを軽減するためのベストプラクティスですが、脆弱性を完全に解消するものではなく、アップグレードが不可欠です。
• 不正な管理者アカウントがないかデバイスを監査する。
• 疑わしいリクエストやIPアドレスがないかログをレビューする。
• CrowdSec WAFのような仮想パッチルールを適用する。

参照したサイト

• CVE-2025-64446: FortiWeb Zero-Day Under Active Exploitation - CrowdSec
• CVE-2025-64446: Critical Fortinet FortiWeb Path Traversal Vulnerability Exploited to Create Administrative Accounts | Arctic Wolf
• Fortinet FortiWeb Vulnerability Exploited (CVE-2025-64446) - eSentire
• Fortinet Releases Security Advisory for Relative Path Traversal Vulnerability Affecting FortiWeb Products | CISA
• NVD-CVE-2025-64446 - NIST
• CVE-2025-64446: Critical Vulnerability in Fortinet FortiWeb Exploited in the Wild - Rapid7
• CVE-2025-64446: Fortinet FortiWeb Zero Day - Dataminr
• AL25-017 - Vulnerability impacting Fortinet FortiWeb – CVE-2025-64446
• CVE-2025-64446 | Tenable®
• FortiWeb CVE-2025-64446 Vulnerability: Path Traversal Leads to Remote Code Execution