1. 概要
Fortinet社製品に搭載されている「FortiOS」で、脆弱性（CVE-2024-55591）が存在することが報告されました。この脆弱性を悪用する脅威活動はすでに確認されており、1月15日（現地日付）にIPA（情報処理推進機構）にて緊急で注意喚起が行われています。
認証バイパスの脆弱性（CVE-2024-55591）のCVSS v3.1のベーススコアは9.8（Critical）と極めて高いため、脆弱性対象のFortiOSを使用している場合はFortinet社より案内のある対策を実施することが推奨されています。
2. 脆弱性情報詳細（CVE-2024-55591）
(1) 脆弱性の概要（CVE-2024-55591）
Fortinet社のFortiOSおよびFortiProxyにおける認証バイパスの脆弱性です。この脆弱性は、特定のバージョンのFortiOS（7.0.0から7.0.16まで）FortiProxy（7.0.0から7.0.19および7.2.0から7.2.12）に影響を及ぼします。攻撃者は、代替のパスやチャネルを使用した認証バイパスの脆弱性により、Node.js Websocketモジュールへの不正なリクエストを介して、管理者権限を取得することが可能です。
(2) 攻撃概要
この脆弱性が悪用されると、攻撃者はFortiOSやFortiProxyを実行しているデバイスに対して不正アクセスを行い、機密情報の漏洩やシステムの完全な制御を奪う可能性があります。特に、ゼロデイ攻撃として悪用されるリスクが高く、すでに一部の組織での悪用が報告されています。
【図１】 攻撃のイメージ
(3) 影響を受けるシステムおよびバージョン
CVE-2024-55591
- FortiOS バージョン7.0.0から7.0.16まで
- FortiProxy バージョン7.2.0から7.2.12まで
- FortiProxy バージョン7.0.0から7.0.19まで
(4) 対策
すでに本脆弱性の悪用を試みる攻撃が報告されており、本脆弱性のCVSSv3.1スコアが9.8と高く、脆弱性を悪用された場合に深刻な被害を受ける可能性があります。そのため、影響を受けるシステムおよびバージョンを利用している場合には速やかな対応が必要です。1月15日（現地日付）以降、Fortinet社から脆弱性に対応する修正バージョンが順次公開されておりますので、案内に沿ってアップグレードを実施してください。
(5) 軽減策
Fortinet社から本脆弱性に対しての軽減策として、管理インタフェースへのアクセスを保護することが推奨されています。具体的には、管理インタフェースへのアクセスを信頼できる内部IPアドレスに制限することで、インターネットからの許可されていない送信元によるアクセスを防ぐことができます。管理インタフェースへのアクセス制御方法の詳細な手順については下記をご参照ください。
・Fortinet
ファイアウォールへの管理アクセスを保護する方法 2025年1月15日閲覧
https://www.fortiguard.com/psirt/FG-IR-24-535
3. まとめ
本記事では、Fortinet社製品に搭載されているFortiOSにおける最新の脆弱性(CVE-2024-55591)について詳細と対策を紹介いたしました。すでに当該脆弱性の悪用が確認されているため、当該製品をご利用の場合、Fortinet社より案内のある対策を実施することが推奨されています。
4. 参考情報
・IPA
Fortinet 製 FortiOS の脆弱性対策について(CVE-2024-55591) 2025年1月15日閲覧
https://www.ipa.go.jp/security/security-alert/2024/alert20250115.html
・Fortinet
ファイアウォールへの管理アクセスを保護する方法 2025年1月15日閲覧
https://www.fortiguard.com/psirt/FG-IR-24-535
5. SSKのセキュリティ運用監視サービスおよび脆弱性診断サービスについて
急速なデジタルシフトやDXの進展により、サイバー攻撃の標的となりうる範囲は大きく広がっています。更にランサムウェアをはじめとするサイバー攻撃の脅威は増す一方となり、企業活動においてサイバーセキュリティ対策は必要不可欠な課題となっています。
SSKのセキュリティ運用監視サービスでは、24時間365日、リアルタイムでセキュリティログの有人監視をおこなっております。セキュリティ対策として様々なセキュリティ機器やサービスを導入するケースも増加しており、当社ではUTM製品をはじめ、SASE、EDR等、新しいセキュリティソリューションも監視対象としてサービス展開を行っています。また、脆弱性診断サービスでは、診断経験豊富なセキュリティエンジニアがお客様のシステムを診断し、検出された脆弱性への対策をご提案しております。Webアプリケーションだけでなくネイティブアプリケーション診断やクラウドサービス設定診断も行っています。
セキュリティ運用監視サービス：
https://www.ssk-kan.co.jp/e-gate#e-gate--02
脆弱性診断サービス：
https://www.ssk-kan.co.jp/vulnerability-assessment
※本資料には弊社が管理しない第三者サイトへのリンクが含まれています。各サイトの掲げる使用条件に従ってご利用ください。
リンク先のコンテンツは予告なく、変更、削除される場合があります。
※掲載した会社名、システム名、製品名は一般に各社の登録商標 または商標です。
≪お問合せ先≫
サービス＆セキュリティ株式会社
〒150-0011
東京都渋谷区東3丁目14番15号 MOビル2F
TEL 03-3499-2077
FAX 03-5464-9977
sales@ssk-kan.co.jp