フォーティネットは、FortiOS および FortiSandbox の脆弱性に関する新しいセキュリティ アドバイザリを公開しました。 CVSS 値は 7.3 ～ 7.9 であるため、非常に危険であると考えられます。 IT セキュリティ管理者は直ちに更新を行う必要があります。
フォーティネットのセキュリティ アドバイザリでは、非常に危険な脆弱性と考えられる結果について詳細に説明しています。
FortiOS – Prof Admin プロファイルによる不正な認証 (CVSSv3 7.4)
問題： FortiOS の WEB-UI コンポーネントに不適切な認証の脆弱性 [CWE-285] があるため、prof-admin プロファイルを持つ認証された攻撃者が昇格されたアクションを実行できる可能性があります。
解決： FortiOS 7.4 は影響を受けません。FortiOS 7.2 7.2.0 から 7.2.4 へのアップグレードは 7.2.5 以降に、FortiOS 7.0 7.0.0 から 7.0.11 は 7.0.12 以降にアップグレードする必要があります。
FortiSandbox - ファイル オンデマンド レンダリング エンドポイントでのクロス サイト スクリプティング (XSS) の反映 (CVSSv3 7.3)
問題： FortiSandbox の Web ページ生成中の入力の不適切な無効化 (「クロスサイト スクリプティング」) の脆弱性 [CWE-79] により、認証された攻撃者が細工された HTTP リクエストを介してクロスサイト スクリプティング攻撃を実行できる可能性があります。
解決： FortiSandbox 2.4.1 から 3.2 は修正バージョンに移行する必要があります。 Fortinet 4.0.0 から 4.0.3 には 4.0.4 へのアップグレードが必要です。 Fortinet 4.2.0 から 4.2.5 および 4.4.0 から 4.4.1 では、4.4.2 以降へのアップグレードが必要です。
FortiSandbox – 任意のファイルの削除 (CVSSv3 7.9)
問題： FortiSandbox の制限されたディレクトリへのパス名の不適切な制限 (「パス トラバーサル」) の脆弱性 [CWE-22] により、権限の低い攻撃者が細工された http リクエストを介して任意のファイルを削除できる可能性があります。 のすべてのバージョンが影響を受けます FortiSandbox 2.4 ～ 3.2、バージョン 4.0.0 ～ 4.0.3、バージョン 4.2.0 ～ 4.2.5、およびバージョン 4.4.0
解決： 安全なバージョンは FortiSandbox 4.0.4、4.2.6、および 4.4.2 以降です。 アップデートはダウンロードできます。
FortiSandbox – エンドポイント削除時の XSS (CVSSv3 7.3)
問題： Web ページ生成中の複数の不適切な入力 (「クロスサイト スクリプティング」) を無力化する FortiSandbox の脆弱性 [CWE-79] により、認証された攻撃者が細工された HTTP リクエストを介してクロスサイト スクリプティング攻撃を実行できる可能性があります。
解決： FortiSandbox 2.4.1 から 3.2 は修正バージョンに移行する必要があります。 Fortinet 4.0.0 から 4.0.3 には 4.0.4 へのアップグレードが必要です。 Fortinet 4.2.0 から 4.2.5 および 4.4.0 から 4.4.1 では、4.4.2 以降へのアップグレードが必要です。
さらなるセキュリティ勧告、説明、および対応するアップデートについては、フォーティネットでご覧ください。
詳細は Sophos.com をご覧ください
フォーティネットについて フォーティネット (NASDAQ: FTNT) は、世界最大級の企業、サービス プロバイダー、政府機関の最も貴重な資産を保護しています。 私たちは、拡大する攻撃対象領域に対する完全な可視性と制御、および現在および将来にわたってますます増大するパフォーマンス要件を満たす能力をお客様に提供します。 フォーティネット セキュリティ ファブリック プラットフォームだけが、ネットワーク、アプリケーション、マルチクラウド、またはエッジ環境のいずれにおいても、最も重要なセキュリティの課題に対処し、デジタル インフラストラクチャ全体にわたってデータを保護できます。 フォーティネットは、最も多く出荷されているセキュリティ アプライアンスで第 1 位です。 455.000 を超える顧客が、自社のブランドを保護するためにフォーティネットを信頼しています。 Fortinet Network Security Expert (NSE) Institute は、テクノロジー企業であると同時にトレーニング企業でもあり、業界で最大かつ最も包括的なサイバー セキュリティ トレーニング プログラムの XNUMX つを提供しています。 詳細については、www.fortinet.de、フォーティネット ブログ、または FortiGuard Labs をご覧ください。