Fortinet製品における認証回避の脆弱性CVE-2025-59718等の公表とFortiCloud SSO有効環境への対応

YOU|手続きと一次情報のノート

情報処理推進機構（IPA）は2025年12月17日、Fortinet社が提供する複数製品に関する重要なセキュリティ情報を公表した。対象となる製品はFortiOS、FortiWeb、FortiProxy、FortiSwitchManagerであり、認証回避につながる脆弱性が確認されたことが明らかにされている。

公表内容によると、これらの製品にはデジタル署名の不適切な検証に起因する脆弱性（CVE-2025-59718およびCVE-2025-59719）が存在する。悪用された場合には認証されていない遠隔の第三者により認証を回避される危険性があり、製品開発者による評価ではすでに実効的な攻撃コードが存在しているとされる。

被害の拡大を防ぐため、運用担当者は自組織で運用している機器のバージョンや設定を確認し、開発者が公表しているバージョンアップ手順や暫定的な回避策を適用することが強く推奨される。本稿では公表資料に示されたシステム範囲および具体的な対応手法の詳細について述べる。

デジタル署名の検証不備と攻撃コードの存在

今回のセキュリティ情報において中心となる問題は、Fortinet製品におけるデジタル署名の不適切な検証処理である。公表資料の概要節には次の通り記載されている。

これらの製品において、デジタル署名の不適切な検証の脆弱性(CVE-2025-59718、CVE-2025-59719)が確認されています。

この不備を悪用されると、本来必要な認証プロセスが遠隔から通過されてしまう事態が生じる。また資料では、製品開発者によるCVSS評価の観点から深刻度や切迫性が高まっている点に触れており、以下のように警鐘を鳴らしている。

これらの脆弱性に関する製品開発者によるCVSS評価において、攻撃コードが存在しているとの評価がされています。

第三者による不正アクセスを受けるリスクが現実に存在するため、迅速な現状把握と対策が欠かせない。

影響を受ける各製品のバージョン範囲

本脆弱性の影響を受ける製品群および具体的なバージョン範囲は広範囲にわたっている。公表資料に示されている影響対象のリストは以下の通りである。

  • FortiOS — FortiOS 7.6.0 から 7.6.3、FortiOS 7.4.0 から 7.4.8、FortiOS 7.2.0 から 7.2.11、FortiOS 7.0.0 から 7.0.17

  • FortiProxy — FortiProxy 7.6.0 から 7.6.3、FortiProxy 7.4.0 から 7.4.10、FortiProxy 7.2.0 から 7.2.14、FortiProxy 7.0.0 から 7.0.21

  • FortiSwitchManager — FortiSwitchManager 7.2.0 から 7.2.6、FortiSwitchManager 7.0.0 から 7.0.5

  • FortiWeb — FortiWeb 8.0.0、FortiWeb 7.6.0 から 7.6.4、FortiWeb 7.4.0 から 7.4.9

ネットワークインフラの基幹を担う主要なOSおよび管理機能が対象となっており、広い範囲のリリース系列にわたって該当バージョンが存在する点に留意する必要がある。

FortiCloud SSOログイン機能の有効化条件と注意点

本脆弱性が実際に影響を及ぼす条件として、特定の機能設定が関与していることが明記されている。具体的には次のような記述がなされている。

FortiCloud SSOログイン機能が有効な場合、脆弱性の影響を受けるとのことです。

さらに、運用者が明示的に有効化を設定した記憶がない場合であっても、初期設定や登録手順の過程で意図せず有効状態になっている可能性がある点が説明されている。

なお、製品開発者によると、機器のGUIからFortiCareの登録を実施した場合であって、登録ページにおいて「Allow administrative login using FortiCloud SSO」を無効化していない場合に、FortiCloud SSOログイン機能が有効状態となっていることがあるとのことです。

したがって、管理画面からの登録履歴がある機器については、個別の設定項目がどのような状態になっているかを細かく点検することが求められる。

修正プログラムの適用および暫定的な回避策

脆弱性を根本的に解消するためには、製品開発者が提供する修正済みアップデートの適用が必要となる。公表資料において提示されている修正バージョンは以下の通りである。

  • FortiOSの修正版 — FortiOS 7.6.4 およびそれ以降、FortiOS 7.4.9 およびそれ以降、FortiOS 7.2.12 およびそれ以降、FortiOS 7.0.18 およびそれ以降

  • FortiProxyの修正版 — FortiProxy 7.6.4 およびそれ以降、FortiProxy 7.4.11 およびそれ以降、FortiProxy 7.2.15 およびそれ以降、FortiProxy 7.0.22 およびそれ以降

  • FortiSwitchManagerの修正版 — FortiSwitchManager 7.2.7 およびそれ以降、FortiSwitchManager 7.0.6 およびそれ以降

  • FortiWebの修正版 — FortiWeb 8.0.1 およびそれ以降、FortiWeb 7.6.5 およびそれ以降、FortiWeb 7.4.10 およびそれ以降

また、修正プログラムの即時適用が困難な環境に対しては、暫定的な緩和策も提示されている。

FortiCloudログイン機能を一時的に無効化する

アップデート完了までの間、この回避策を適用することで攻撃のリスクを低減することが可能とされる。

読者が確認できる形にまとめる

  • 対象脆弱性識別子 — デジタル署名の不適切な検証に関する脆弱性としてCVE-2025-59718およびCVE-2025-59719が挙げられている。

  • 悪用時の影響 — 認証されていない遠隔の第三者によって認証を回避される可能性があり、攻撃コードが存在すると評価されている。

  • 影響発生の前提 — FortiCloud SSOログイン機能が有効な場合に影響を受け、GUIからのFortiCare登録時に自動で有効化されている場合がある。

  • 恒久的な対策 — FortiOS 7.6.4以降やFortiWeb 8.0.1以降など、開発者が指定する修正済みバージョンへ更新する。

  • 暫定的な対策 — アップデート適用までの回避策としてFortiCloudログイン機能を一時的に無効化することが挙げられている。

この記事で確かめられなかったこと

公表資料の中では、本脆弱性が実際に悪用された具体的な被害件数や攻撃の発生事例についての記載は存在しない。また、CVSS値の具体的な数値スコアや、個別のシステム環境における設定変更の詳細手順についても提示されておらず、ベンダ等への確認が必要となる。

出典一覧

  • Fortinet製品における認証回避の脆弱性について（CVE-2025-59718等） IPA、2025年12月17日

https://www.ipa.go.jp/security/security-alert/2025/alert20251217.html

いいなと思ったら応援しよう！