2024年2月の注意喚起

JPCERT/CCは2024年2月、FortiOSやFortiProxyの脆弱性CVE-2024-21762について注意喚起しました。SSL-VPNの処理に関係する領域外書き込みの問題で、認証されていない第三者が細工した要求を送り、コードやコマンドを実行する可能性があるとされています。当時、悪用の可能性も示されました。

ログイン前の処理が狙われる

VPNは認証した利用者を内部へ接続する仕組みですが、認証を行うための通信自体は外部から受け取ります。その処理に欠陥がある場合、正しいパスワードを持たない相手からも攻撃され得ます。多要素認証は盗まれた認証情報への対策になりますが、機器の認証前の欠陥を修正するものではありません。

一時的な回避策には条件がある

当時の注意喚起では更新に加え、SSL-VPNを無効化する回避策が示されました。一方、Webモードだけの無効化は有効な回避策ではないとされています。似た名称の設定でも、停止する機能の範囲は異なります。利用への影響と保護できる範囲を、製品の説明に沿って読む必要があります。

更新済みという記録だけでは足りない

一般的な管理では、実際に稼働している版と対象機能の設定を把握し、更新の適用結果を確認します。また、攻撃を受けていた可能性がある機器では、更新と侵害の調査は別の作業です。本記事は2024年の事例を扱っています。当時の修正版を現在も安全な版とみなさず、現時点の対象機器・修正版・調査手順はメーカーの最新情報に従う必要があります。

JPCERT/CC FortiOS注意喚起（2024年2月）

記事更新・資料確認日：2026年9月12日。事例・注意喚起の時点は本文に記載しています。