PSIRT ブログ
フォーティネット、FortiManagerおよびFortiAnalyzerの重大な脆弱性（CVE-2021-32589）に対する即時のパッチアップデートと減災策を提供
7月19日、フォーティネットはFortiManagerおよびFortiAnalyzerの一部のケースに存在するUse-After-Free（UAF）の脆弱性（CWE-416）に対するパッチとワークアラウンドを文書化し、共有するセキュリティアドバイザリを公開しました。フォーティネットが提供するパッチと減災策を使用して更新しなかった場合、この脆弱性により、リモートの認証されていない攻撃者が、特別に細工されたリクエストを対象となるデバイスに送信することで、root として不正なコードを実行できる可能性があります。
まだデバイスのファームウェアアップグレードを行っていないお客様には、このリスクを減災するために直ちに対応することを強くお勧めします。これには、アドバイザリのFG-IR-21-067に従って、FortiManagerおよびFortiAnalyzerをアップグレードすることが含まれます。アップグレード前の一時的な減災策としては、IPSシグネチャをバージョン18.100以降にアップデートしたFortiGateをデバイスの前に設置し、FortiGate IPSシグネチャFG-VD-50483をブロックに設定することで、直ちに対策を講じることができます。フォーティネットでは、この方法はアップグレードプロセスを予定している間の一時的な解決策としてのみ使用することを推奨しています。
お客様のセキュリティは当社の最優先事項です。フォーティネットはパッチと減災策を発行し、お客様に積極的に連絡し、FortiManagerおよびFortiAnalyzer製品を直ちにアップデートすることを強く求めています。さらに、悪意のある第三者によって不正な変更が行われていないことを確認するため、お客様には構成を検証することをお勧めします。フォーティネットはこの状況を積極的に監視していますが、現時点ではこの問題の悪用は認識していません。
フォーティネットは、お客様のペネトレーションテスト中にこの問題を発見しました。慎重を期し、またFortiManagerが多くの組織の中央管理プラットフォームとして重要であることから、一般向けのアドバイザリを発行する前に、お客様がリスクを減災できるように、いくつかの追加措置を講じてお知らせしました。これには以下が含まれます。
- すべてのFortiManagerデバイスのプライマリアカウント所有者にEメールで通知
- Customer Support Bulletinをhttps://support.fortinet.com を通じて発行
また、フォーティネットはCISAやその他の機関と協力して、このメッセージが可能な限り広く伝えられるようにしました。
追加通知ステップの影響
フォーティネットは、今回の特別な通知プロセス（毎月のアドバイザリサイクルとは異なる）の一環として、各通知方法がお客様に与える影響を継続的に監視し、PSIRT情報をお客様に伝える最も効率的な方法を特定しています。
フォーティネットでは、通知のたびにアップグレードが急増しており、アップグレードを必要とするデバイスがまだ多数存在するため、CISAと協力してアップグレードの緊急性を伝えることを歓迎しています。繰り返しになりますが、フォーティネットはお客様にFortiManagerデバイスのアップグレードを直ちに実行していただくようお願いします。
フォーティネットPSIRTチーム
セキュリティの状況は常に進化しており、サイバー犯罪者の一歩先を行くためには、すべてのシステム（特にセキュリティデバイス）を維持することが不可欠です。多くのベンダーと同様に、フォーティネットはPSIRTアドバイザリページを通じて、お客様にサポートと定期的なファームウェアアップデートを提供しています。
すべてのPSIRTアドバイザリを知っていただくために、以下のリンクを使用して当社のさまざまな通知サービスについて学習してください。これらのサービスは、お客様がより積極的なリスク管理と軽減プロセスを採用することをサポートし、推奨するのに役立ちます。
フォーティネットでは、お客様の組織を最善の方法で保護し、セキュリティを確保するために、常にお客様と共に行動しています。この継続的なプロセスにおいて、より良い協力関係を築くためのご意見をお待ちしております。ご提案やご意見がございましたら、ウェブ投稿フォーム（英語）からPSIRTにご連絡ください。
また、このリンクから、現在のフォーティネットPSIRTポリシーの詳細と、潜在的な脆弱性をPSIRTチームに提出する方法をご覧いただけます。
