日頃より弊社をご愛顧いただき誠にありがとうございます。
Fortinet社より、FortiOSのヒープベースのバッファーオーバーフローの脆弱性問題（CVE-2022-42475）が発表されました。
本脆弱性の影響を受けるバージョンをご利用のお客様については、以下の対策へのご対応をお願いいたします。
なお、当ページに記載の情報はIPA公開記事2022年12月14日時点の情報になります。
詳細および最新情報は、メーカーやIPAのサイトなどをご確認くださいますようお願いいたします。
■概要
本脆弱性が悪用されると、認証されていない遠隔の第三者によって細工したリクエストを送信され、任意のコードやコマンドを実行される可能性があります。
本脆弱性を悪用した攻撃が確認されており、今後被害が拡大するおそれがあるため、早急にアップデートを実施してください。
■影響を受けるシステム
FortiOS バージョン 7.2.0 から 7.2.2 まで
FortiOS バージョン 7.0.0 から 7.0.8 まで
FortiOS バージョン 6.4.0 から 6.4.10 まで
FortiOS バージョン 6.2.0 から 6.2.11 まで
FortiOS-6K7K バージョン 7.0.0 から 7.0.7 まで
FortiOS-6K7K バージョン 6.4.0 から 6.4.9 まで
FortiOS-6K7K バージョン 6.2.0 から 6.2.11 まで
FortiOS-6K7K バージョン 6.0.0 から 6.0.14 まで
FortiOS バージョン 6.0.0 から 6.0.15 まで
FortiOS バージョン 5.6.0 から 5.6.14 まで
FortiOS バージョン 5.4.0 から 5.4.13 まで
FortiOS バージョン 5.2.0 から 5.2.15 まで
FortiOS バージョン 5.0.0 から 5.0.14 まで
■対策
【1】 脆弱性の解消 – アップデートを実施
FortiOS バージョン 7.2.3 あるいはそれ以降
FortiOS バージョン 7.0.9 あるいはそれ以降
FortiOS バージョン 6.4.11 あるいはそれ以降
FortiOS バージョン 6.2.12 あるいはそれ以降
FortiOS-6K7K バージョン 7.0.8 あるいはそれ以降
FortiOS-6K7K バージョン 6.4.10 あるいはそれ以降
FortiOS-6K7K バージョン 6.2.12 あるいはそれ以降
FortiOS-6K7K バージョン 6.0.15 あるいはそれ以降
※推奨バージョンについては、ユーザ登録をされた保守会社のサイトにてご確認ください。
【2】 脆弱性の暫定的な回避策
製品開発者によると次の回避策を適用することで、本脆弱性の影響を軽減できるとのことです。
・ SSL-VPN を無効にする
【3】 推奨対応
製品開発者は当該製品に対し、脆弱性を悪用する攻撃の被害を受けていないか確認するため、以下の調査を実施することを推奨しています。
・機器ログに脆弱性の悪用を示すログが記録されていないか
・機器に不審なファイルが設置されていないか
・機器から不審な通信先への通信が発生していないか
詳しくは、開発者が提供する下記サイトの情報をご確認ください。
Fortinet
FortiOS – heap-based buffer overflow in sslvpnd
IPA
FortiOS SSL-VPN の脆弱性対策について(CVE-2022-42475)
対策への手順やご不明点等のお問い合わせは、弊社担当営業、SEまでご連絡をお願いいたします。