猶予時間のうちにアップデートを

FortigateのSSL-VPN機器向けのアップデートが公開されています。
アップデートが公開されたのは2023年6月9日です。

• 対象
  FortiOSの搭載された機器

   

• 修正後の新しいバージョン
  6.0.17、6.2.15、6.4.13、7.0.12、7.2.5
  FortiOSのすべてのバージョンが影響を受ける内容になっています。
  上記のバージョンではない運用中のすべてのFortiOSの機器が影響を受ける可能性があります。

   

• 脆弱性の種類
  リモートコード実行の脆弱性です。
  多要素認証が有効になっている場合でもVPN経由で干渉できる可能性がある内容になっています。

   

• 脆弱性の詳細
  この脆弱性はCVE-2023-27997として公開される予定ですが、詳細情報の開示は2023年6月9日時点では実施されていません。
  詳細の開示は2023年6月13日に実施される予定です。

これまでFortiOSの脆弱性の公開を巡ってはいろいろな事例がありました。
中には脆弱性の情報が公開されてからわずか数日でそれを悪用する攻撃が展開されたということもありました。

今回の対応内容も、影響範囲の製品の広さが危険ですし、外部から脆弱性を悪用できる可能性がある内容となっていますので、この意味でも危険です。
週末をはさんでいますので、わずかしか猶予がありませんが、できるだけ早急に更新を適用したいところです。

参考記事（外部リンク）：Fortinet fixes critical RCE flaw in Fortigate SSL-VPN
devices, patch now
www.bleepingcomputer.com/news/security/fortinet-fixes-critical-rce-flaw-in-fortigate-ssl-vpn-devices-patch-now/