Fortinet FortiOS の sslvpnd の処理に任意のコードを実行される問題
(CVE-2023-27997)
2023.06.14 公開
概要
Fortinet 社は2023年06月13日、同社のアドバイザリ において、FortiOS の SSL-VPN 機能に存在する脆弱性を公表しました。この脆弱性を利用された場合、リモートの攻撃者に認証無しで任意のコードを実行される可能性があります。
既にこの脆弱性を悪用する攻撃が確認されており、FortiOS 自体がグローバルネットワークに配置される機器に搭載されるものであるため、修正プログラムの早急な適用が強く推奨されています。
以下は、継続的脆弱性管理ツール SIDfm VM での当該脆弱性情報の画面を表示したものです。
影響を受ける環境
この脆弱性の影響を受けるのは以下の製品です。
- FortiOS 7.2.0 ～ 7.2.4
- FortiOS 7.0.0 ～ 7.0.11
- FortiOS 6.4.0 ～ 6.4.12
- FortiOS 6.0.0 ～ 6.0.16
- FortiOS-6K7K 7.0.5, 7.0.10
- FortiOS-6K7K 6.4.2, 6.4.6, 6.4.8, 6.4.10, 6.4.12
- FortiOS-6K7K 6.2.4, 6.2.6 ～ 6.2.7, 6.2.9 ～ 6.2.13
- FortiOS-6K7K 6.0.10, 6.0.12 ～ 6.0.16
なおこれらの影響範囲は Fortinet 社のアドバイザリにおいて「少なくとも (At least)」と記載されており、サポートの終了した他のバージョンにも影響する可能性があります。
対策
修正プログラム
修正プログラムの適用が強く推奨されています。
- FortiOS 7.2.5 以上
- FortiOS 7.0.12 以上
- FortiOS 6.4.13 以上
- FortiOS 6.0.17 以上
- FortiOS-6K7K 7.0.12 以上
- FortiOS-6K7K 6.4.13 以上
- FortiOS-6K7K 6.2.15 以上
- FortiOS-6K7K 6.0.17 以上
確認されている悪用事例
Fortinet 社による報告
Fortinet 社から公表された「CVE-2023-27997 の分析 」の中で「我々の調査によって限られたケースで悪用された可能性があることが判明した」と述べられています。
更新履歴
-
2023年06月13日
- 新規公開
参照
- "FortiOS & FortiProxy - Heap buffer overflow in sslvpn pre-authentication," FortiGuard PSIRT Advisorie, Jun 12, 2023. (確認日 2023年06月13日)
- Carl Windsor, "Analysis of CVE-2023-27997 and Clarifications on Volt Typhoon Campaign," FortiGuard PSIRT BLOGS, Jun 12, 2023. (確認日 2023年06月13日)
- 「Fortinet 製 FortiOS および FortiProxy の脆弱性対策について(CVE-2023-27997)」, 情報処理推進機構, 2023年06月13日
