Fortinet製品におけるSSL-VPN機能の脆弱性（CVE-2022-42475）に関する注意喚起

（2022.12.14公開、2022.12.16追記）

Fortinet社より一部製品のSSL-VPN機能に、ヒープベースのバッファオーバーフローの脆弱性存在することが発表されました。
リモートの認証されていない攻撃者が特別に細工されたリクエストを送信することで、任意のコードまたはコマンドを実行できる可能性があります。
Fortinet社ではすでに本脆弱性を悪用した攻撃を観測しているとのことです。

なお、攻撃が行われた場合、痕跡として、以下のようなログが記録されます。

Logdesc=”Application crashed” and msg=”[…] application:sslvpnd,[…], Signal 11 received, Backtrace: […]“

その他にも、一部のファイルが生成される、FortiGateデバイスから一部の不審なIPアドレスに接続される等の痕跡が残ることが、Fortinet社のセキュリティアドバイザリに記載されています。

影響を受ける製品

FortiOS version 7.2.0 から 7.2.2
FortiOS version 7.0.0 から 7.0.8
FortiOS version 6.4.0 から 6.4.10
FortiOS version 6.2.0 から 6.2.11
FortiOS-6K7K version 7.0.0 から 7.0.7
FortiOS-6K7K version 6.4.0 から 6.4.9
FortiOS-6K7K version 6.2.0 から 6.2.11
FortiOS-6K7K version 6.0.0 から 6.0.14

— 2022.12.16追記 —
FortiOS version 6.0.0 から 6.0.15
FortiOS version 5.6.0 5.6.14 まで
FortiOS version 5.4.0 から 5.4.13
FortiOS version 5.2.0 から 5.2.15
FortiOS version 5.0.0 から 5.0.14

お客様への影響

セキュアヴェイルが提供するSOCサービス「NetStare（ネットステア）」をご契約中で影響を受ける可能性のあるお客様へは、準備が整い次第、順次個別にご案内を開始いたします。

SOCサービス未契約のお客様で、SSL-VPN機能を利用しており、任意の送信元からの接続を可能に設定している場合は、Fortinet社のセキュリティアドバイザリをご確認いただき、バージョンアップの実施を推奨いたします。
現在のバージョン、設定内容、バージョンアップ方法等につきましては、製品購入元の販売店様や保守ベンダー様へご確認ください。

対策について

Fortinet社より、本脆弱性の修正を行った以下のバージョンがリリースされています。
SSL-VPNをご利用で、任意の送信元からの接続を可能に設定している場合は、対策済みバージョンへのバージョンアップが必要です。

FortiOS version 7.2.3 以上
FortiOS version 7.0.9 以上
FortiOS version 6.4.11 以上
FortiOS version 6.2.12 以上
FortiOS-6K7K version 7.0.8 以上
FortiOS-6K7K version 6.4.10 以上
FortiOS-6K7K version 6.2.12 以上
FortiOS-6K7K version 6.0.15 以上

— 2022.12.16追記 —
Fortinet社のセキュリティアドバイザリに、ワークアラウンドどしてSSL-VPN機能の無効化が追記されました。

参考情報

Fortinet社によるセキュリティアドバイザリ
FortiOS – heap-based buffer overflow in sslvpnd(FG-IR-22-398)
https://www.fortiguard.com/psirt/FG-IR-22-398

---