Fortinet複数製品に影響する脆弱性について

概要

• 発行日: 2023-12-12
• CVE ID: CVE-2023-36639, CVE-2023-47536, CVE-2023-41678
• CVSSv3 スコア: 7.0, 2.8, 8.3

脆弱性の概要

• CVE-2023-36639: HTTPSd デーモンのフォーマット文字列の脆弱性。認証済みユーザーが特別に作成されたAPIリクエストを介して不正なコードやコマンドを実行可能。
• CVE-2023-47536: 不適切なアクセス制御の脆弱性。リモートの未認証攻撃者が GeoIP データベース更新とのタイミングを利用してファイアウォール拒否地理位置情報ポリシーをバイパス可能。
• CVE-2023-41678: HTTPSd デーモンのダブルフリーの脆弱性。認証済み攻撃者が特別に作成されたコマンドを介して任意のコード実行可能。

影響を受ける製品

• FortiOS バージョン 6.0 から 7.4
• FortiPAM バージョン 1.0 から 1.2
• FortiProxy バージョン 7.0 から 7.4

対処法

• フォーマット文字列の脆弱性: 対象バージョンを最新バージョンにアップグレード。
• 不適切なアクセス制御: 対象バージョンを指定バージョン以上にアップグレード。
• ダブルフリーの脆弱性: 対象バージョンを指定バージョン以上にアップグレードまたは最新リリースに移行。

ワークアラウンド

• 特に記載なし

レスポンスマトリックス

Fortinetは、各アドバイザリについて、影響を受ける製品バージョン、オペレーティングシステム、
CVE識別子、CVSSv3スコア、重要度、修正バージョンなどの詳細情報を提供しています。
詳細については、関連リンクを参照ください。

関連リンク:https://www.fortiguard.com/psirt