【CVE-2024-21754】フォーティネット製品に強度不十分なパスワードハッシュの使用による脆弱性が発見、情報漏洩のリスクに警鐘

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

FortiProxyとFortiOSに脆弱性が発見された
強度が不十分なパスワードハッシュ使用が問題
複数のバージョンが影響を受ける

フォーティネット製品の脆弱性発見とその影響

フォーティネットは、同社の製品であるFortiProxyとFortiOSに強度が不十分なパスワードハッシュの使用に関する脆弱性が存在することを公表した。この脆弱性は、CVE-2024-21754として識別されており、NVDによるCVSS v3の基本評価値は4.4（警告）とされている。影響を受けるシステムには、FortiProxyの複数バージョンとFortiOSの複数バージョンが含まれている。^[1]

この脆弱性の影響範囲は広範囲に及び、FortiProxy 2.0.0から2.0.14、7.0.0から7.0.18、7.2.0から7.2.11、7.4.0以上7.4.3未満のバージョンが対象となっている。さらに、FortiOS 6.4.0から6.4.15、7.0.0から7.0.15、7.2.0以上7.2.9未満、7.4.0以上7.4.4未満のバージョンも影響を受けることが明らかになった。この脆弱性により、攻撃者が情報を取得する可能性が指摘されている。

フォーティネットは、この脆弱性に対する正式な対策を公開しており、ユーザーに対してベンダ情報を参照し、適切な対策を実施するよう呼びかけている。また、この脆弱性はCWE-916（強度が不十分なパスワードハッシュの使用）に分類されており、攻撃元区分はローカル、攻撃条件の複雑さは低いとされている。しかし、攻撃に必要な特権レベルは高く、利用者の関与は不要とされている点に注意が必要だ。

FortiProxyとFortiOSの脆弱性の詳細

	FortiProxy	FortiOS
影響を受けるバージョン	2.0.0-2.0.14, 7.0.0-7.0.18, 7.2.0-7.2.11, 7.4.0-7.4.2	6.4.0-6.4.15, 7.0.0-7.0.15, 7.2.0-7.2.8, 7.4.0-7.4.3
脆弱性の種類	強度が不十分なパスワードハッシュの使用	強度が不十分なパスワードハッシュの使用
CVSS v3スコア	4.4（警告）	4.4（警告）
攻撃元区分	ローカル	ローカル
攻撃条件の複雑さ	低	低

パスワードハッシュについて

パスワードハッシュとは、ユーザーのパスワードを安全に保存するために使用される暗号化技術のことを指しており、主な特徴として以下のような点が挙げられる。

元のパスワードから一方向の変換を行い、元に戻すことが困難
同じ入力に対して常に同じハッシュ値を生成する
わずかな入力の変化で大きく異なるハッシュ値を生成する

強度が不十分なパスワードハッシュを使用すると、攻撃者がハッシュ値から元のパスワードを推測しやすくなる可能性がある。FortiProxyとFortiOSの脆弱性では、使用されているパスワードハッシュの強度が十分でないことが問題となっている。この脆弱性を悪用されると、攻撃者が保護されたパスワード情報にアクセスし、不正なシステムアクセスを試みる危険性が高まるのだ。

フォーティネット製品の脆弱性に関する考察

フォーティネット製品における強度不十分なパスワードハッシュの使用は、セキュリティ製品を提供する企業として深刻な問題だ。この脆弱性により、ユーザーの機密情報が危険にさらされる可能性があり、特に高い特権レベルでの攻撃が可能な点は重大な懸念事項となっている。今後、フォーティネットはより強力なハッシュアルゴリズムの採用や、定期的なセキュリティ監査の強化など、製品のセキュリティ対策を徹底的に見直す必要があるだろう。

この問題は、セキュリティ製品開発における継続的な脆弱性管理の重要性を浮き彫りにしている。今後、フォーティネットだけでなく、他のセキュリティベンダーも自社製品のセキュリティ強化に一層注力することが予想される。特に、パスワード管理や認証システムに関する新たな暗号化技術の採用、AIを活用した脆弱性検出システムの導入など、より高度なセキュリティ対策の実装が求められるだろう。

ユーザー側の対応としては、ベンダーが提供するセキュリティアップデートを迅速に適用することが重要だ。また、多要素認証の導入や定期的なパスワード変更など、追加的なセキュリティ対策を講じることも有効だろう。今回の事例を教訓に、セキュリティ製品の選定においては、製品の機能だけでなく、ベンダーのセキュリティ対応能力や脆弱性管理体制も重要な評価基準となることが期待される。