Trusted Design

CVE-2025-68686 の詳細

CVEの情報

説明:
An Exposure of Sensitive Information to an Unauthorized Actor vulnerability [CWE-200] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.1, FortiOS 7.4.0 through 7.4.6, FortiOS 7.2 all versions, FortiOS 7.0 all versions, FortiOS 6.4 all versions may allow a remote unauthenticated attacker to bypass the patch developed for the symbolic link persistency mechanism observed in some post-exploit cases, via crafted HTTP requests. An attacker would need first to have compromised the product via another vulnerability, at filesystem level.

CVE更新日: 2026-02-10 16:16:09.630000

CVSSバージョン: 3.1

CVSSスコア: 5.9

KEVの情報

KEV更新日: 2026-07-27

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.294990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-68686について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-68686は、Fortinet FortiOSにおける「未承認の攻撃者への機密情報漏洩 (Exposure of Sensitive Information to an Unauthorized Actor)」の脆弱性（CWE-200）です。この脆弱性は、細工されたHTTPリクエストを介して、過去に確認されたシンボリックリンク永続化メカニズムのために開発されたパッチをリモートの認証されていない攻撃者が回避できる可能性があります。

本脆弱性は、製品がファイルシステムレベルで別の脆弱性によってすでに侵害されている必要があるため、初期侵入の手段ではなく、二次的な悪用経路として、または侵害後の永続化メカニズムとして機能します。

1.1 影響

この脆弱性が悪用されると、攻撃者は以前の対策が講じられたにもかかわらず、機密情報へのアクセスを維持または再取得する可能性があります。これにより、不正なアクセスを通じてデバイスに保存されている機密情報が漏洩する危険性があります。機密性への影響は高いと評価されています。

本脆弱性は、CISA（米サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用された脆弱性（KEV）カタログに2026年7月27日に追加されており、実環境での活発な悪用が確認されています。

1.2 深刻度

CVSSv3.1の基本スコアは5.3（Medium）または5.9（Medium）と評価されています。 CVSSベクトルは「AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N」です。 攻撃条件の複雑さ（AC）が高い（H）と評価されているのは、攻撃が成立するために事前に別の脆弱性によってファイルシステムレベルで侵害されている必要があるためです。ただし、KEVに追加されていることから、CVSSスコアが中程度であっても、運用上の優先度は高いとされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Fortinet FortiOSの以下のバージョンが影響を受けます。

  • FortiOS 7.6.0 から 7.6.1
  • FortiOS 7.4.0 から 7.4.6
  • FortiOS 7.2 の全てのバージョン
  • FortiOS 7.0 の全てのバージョン
  • FortiOS 6.4 の全てのバージョン

2.2 影響を受ける設定

SSL-VPNコンポーネントが影響を受けます。SSL-VPNを一度も有効化したことがない機器は本脆弱性の対象外です。

3. 影響を受けた時の兆候

本脆弱性はシンボリックリンクの永続化メカニズムに対するパッチバイパスであるため、不審なシンボリックリンク活動やFortiOSシステム上の異常なファイルアクセスパターンを監視することが兆候となる可能性があります。また、このCVEが悪用されるにはファイルシステムレベルでの事前の侵害が必要となるため、他の脆弱性による以前の侵害の証拠についてログをレビューすることが重要です。

4. 推奨対策

4.1 本対策

影響を受けるバージョンを使用している場合は、以下のバージョンにアップグレードしてください。

  • FortiOS 7.6 ブランチの場合：FortiOS 7.6.2 以降
  • FortiOS 7.4 ブランチの場合：FortiOS 7.4.7 以降
  • FortiOS 7.2、7.0、6.4 の各ブランチの場合：これらのブランチには修正版が提供されないため、修正済みのリリース（例: FortiOS 7.4.7 以降または 7.6.2 以降）への移行が必要です。

4.2 暫定回避策（緩和策）

  • ネットワークセグメンテーションとアクセス制御を実装し、悪用後の潜在的な活動を制限します。
  • CISAのBOD 26-04ガイダンスおよび「Forensics Triage Requirements」に従って緩和策を適用します。
  • 緩和策が利用できない場合は、製品の使用を中止することも考慮されます。
  • 本脆弱性は、初期侵入後に侵害を維持する性質があるため、過去の侵害の痕跡が残っていないかを確認する必要があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る