【CVE-2024-36509】FortiWebに認証情報漏洩の脆弱性、管理者パスワードの露出リスクに警戒

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

FortiWebに管理者パスワード漏洩の脆弱性が発見
バージョン6.3.23から7.6.0までが影響を受ける
Log Access Eventページから暗号化パスワードにアクセス可能

FortiWebの認証情報漏洩の脆弱性

Fortinet社は2024年11月12日にFortiWebの脆弱性【CVE-2024-36509】を公開した。この脆弱性は認証済みの攻撃者がLog Access Eventのログページを介して他の管理者の暗号化されたパスワードにアクセスできる問題であり、情報漏洩のリスクが指摘されている。^[1]

影響を受けるバージョンは、FortiWeb 7.6.0、7.4.3以下、7.2.10以下、7.0.10以下、6.3.23以下と広範囲に及んでいる。この脆弱性はCWE-497に分類され、認証システムの重要な情報が露出するという深刻な問題を引き起こす可能性がある。

SSVCの評価によると、この脆弱性の技術的影響は部分的であり、自動化された悪用の可能性は低いとされている。しかし認証された攻撃者による意図的な攻撃の場合、管理者権限の奪取につながる危険性を孕んでいる。

FortiWeb脆弱性の影響範囲まとめ

項目	詳細
脆弱性ID	CVE-2024-36509
影響を受けるバージョン	FortiWeb 7.6.0、7.4.3以下、7.2.10以下、7.0.10以下、6.3.23以下
脆弱性の種類	CWE-497（重要システム情報の露出）
CVSSスコア	3.8（Low）
影響	管理者パスワードの漏洩リスク

FortiWebの脆弱性の詳細はこちら

認証済み攻撃者について

認証済み攻撃者とは、システムやネットワークに対して正規の認証情報を持って不正なアクセスを試みる攻撃者のことを指す。主な特徴として、以下のような点が挙げられる。

正規のアカウントを使用して内部にアクセス
通常の監視では検知が困難
システム内部の情報を直接閲覧可能

FortiWebの今回の脆弱性では、認証済み攻撃者がLog Access Eventのログページを通じて他の管理者の暗号化されたパスワードにアクセスできる問題が指摘されている。この種の攻撃は、正規の認証情報を持つ攻撃者による内部からの情報漏洩という観点で、特に警戒が必要な脆弱性となっている。

FortiWeb脆弱性に関する考察

FortiWebの認証システムにおける今回の脆弱性は、管理者アカウントのセキュリティに直接関わる重大な問題として捉える必要がある。ログページを通じて暗号化されたパスワードにアクセスできるという問題は、攻撃者による権限昇格や特権アカウントの乗っ取りにつながる可能性が高く、早急な対応が求められるだろう。

この脆弱性に対する根本的な解決策として、ログシステムのアクセス制御の見直しと暗号化パスワードの保護強化が不可欠である。さらにログの表示内容を必要最小限に制限し、機密情報へのアクセスを厳密に管理することで、同様の問題の再発を防ぐことが可能になるだろう。

今後のFortiWebのセキュリティ強化において、認証システムの多層的な保護機構の実装が期待される。特に管理者権限を持つアカウントの保護に関して、二要素認証の必須化やアクセスログの詳細な監視機能の追加など、より強固なセキュリティ対策の導入が望まれる。