FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)|セキュリティと脆弱性-ニュースセキュリティ対策Lab

投稿日時: 2025年12月11日更新日時: 2025年12月11日

Fortinetのセキュリティ製品で、新たに2件の重要な認証関連脆弱性が公表されました。
1つ目はセキュリティオーケストレーション製品「FortiSOAR」における自己パスワード変更機能の不備で、CVE-2025-59808として登録されています。

2つ目はWebアプリケーションファイアウォール「FortiWeb」におけるパスワードハッシュの扱いの問題で、こちらはCVE-2025-64471として公開されています。

いずれも「認証」「アカウント乗っ取り」に直結するタイプの問題であり、バージョンをまたいで広く影響します。過去のFortinet製品の脆弱性が実際に大規模攻撃に利用されてきた経緯を踏まえると、早急なパッチ適用やリスク評価が必要な内容です。

1 脆弱性1：FortiSOARの自己パスワード変更バイパス（CVE-2025-59808）
2 脆弱性2：FortiWebのパスワードハッシュ悪用（CVE-2025-64471）
3 Fortinet製品脆弱性の悪用事例
- 3.1 FortiOS SSL-VPNのRCE（CVE-2024-21762 など）
- 3.2 FortiGate SSL-VPNの情報漏洩（CVE-2018-13379）

脆弱性1：FortiSOARの自己パスワード変更バイパス（CVE-2025-59808）

何が問題なのか

FortiSOARでは本来、ユーザー自身がパスワードを変更する際に「現在のパスワード」を入力して本人確認を行う必要があります。
しかし今回の脆弱性（CWE-620：未検証パスワード変更）により、いったんアカウントにアクセスできてしまえば、現在のパスワードの入力なしに新しいパスワードへ変更できてしまう不備が報告されています。

表向きには「すでにアカウントにログインされている状態」が前提となるため、一見すると影響が小さく見えるかもしれません。しかし、フィッシングや他サービスからのパスワード流用、端末乗っ取りなどで一度アカウントを握られた場合、その後の防御手段として「後からパスワードを変える」という最後の砦が事実上機能しなくなります。

影響を受けるバージョン

Fortinetのアドバイザリでは、PaaS版／オンプレ版ともに複数メジャーバージョンが影響するとしています。

FortiSOAR PaaS 7.6：7.6.0〜7.6.2
FortiSOAR PaaS 7.5：7.5.0〜7.5.1
FortiSOAR PaaS 7.4 / 7.3：全バージョン（修正版への移行が必要）
FortiSOAR on-premise 7.6：7.6.0〜7.6.2
FortiSOAR on-premise 7.5：7.5.0〜7.5.1
FortiSOAR on-premise 7.4 / 7.3：全バージョン

修正版としては、7.5系は7.5.2以降、7.6系は7.6.3以降が提示されています。7.3／7.4を利用している場合は、サポートされている修正済みバージョンへの移行が必要になります。

想定される攻撃シナリオ

この脆弱性単体では「ログイン前の認証バイパス」ができるわけではありません。攻撃者はまず何らかの手段で対象ユーザーのセッションや認証情報を取得している必要があります。

しかし、いったん侵入された後のシナリオを考えると、影響は軽くありません。

攻撃者がユーザーのセッションIDやCookieを窃取
そのセッションを用いてFortiSOARのUIにアクセス
「現在のパスワード」の確認なしで、新しいパスワードを設定
正規ユーザーはログイン不能になり、アカウントは完全に攻撃者の管理下へ

SOCやCSIRTのオーケストレーション基盤としてFortiSOARを使っている組織の場合、このアカウント乗っ取りがプレイブックの改ざんや、インシデント対応ワークフローの妨害に繋がる可能性があります。運用アカウント（Admin、運用用ロール）で同様のことが起きれば、インシデントへの初動そのものが阻害される恐れもあります。

脆弱性2：FortiWebのパスワードハッシュ悪用（CVE-2025-64471）

何が問題なのか

2つ目の脆弱性は、FortinetのWAF製品「FortiWeb」で報告されているものです。
こちらはCWE-836「パスワードの代わりにパスワードハッシュを利用した認証」に分類される問題で、ハッシュ値そのものをパスワードの代わりとして認証に使えてしまう不備が指摘されています。

本来、システムは「入力された平文パスワードをハッシュ化し、保存済みハッシュと照合する」という流れで認証を行います。ところが今回のケースでは、実装上の不備により、保存済みのハッシュ値をそのまま「パスワード」として送ってもログインできてしまう可能性があります。

これはつまり、何らかの方法で管理者アカウント等のハッシュが一度漏れてしまうと、平文パスワードを復号・総当たりするまでもなく、ハッシュ値だけで直接ログインできてしまうことを意味します。

影響を受けるバージョン

Fortinetのアドバイザリでは、FortiWebの複数系統のバージョンが影響を受けると説明されています。

FortiWeb 8.0：8.0.0〜8.0.1 → 8.0.2以降で修正
FortiWeb 7.6：7.6.0〜7.6.4 → 7.6.6以降で修正
FortiWeb 7.4：7.4.0〜7.4.10 → 7.4.11以降で修正
FortiWeb 7.2：7.2.0〜7.2.11 → 7.2.12以降で修正
FortiWeb 7.0：7.0.0〜7.0.11 → 7.0.12以降で修正

CVEとしては、CVE-2025-64471が割り当てられており、攻撃ベクトルはHTTP/HTTPS経由の細工されたリクエストとされています。

ハッシュが「盗まれた時点で負け」になる理由

パスワードハッシュが安全とされてきたのは、ハッシュから元のパスワードを計算で戻すことが現実的ではない、という前提があったからです。

しかし今回のように、システム側がハッシュをそのままパスワードとして受け入れてしまう実装になっていると、状況は一変します。

別の脆弱性（例：パストラバーサル、情報漏洩、ログダンプ等）でハッシュが流出
ハッシュの平文化はいったん置いておき、その値自体をログイン時に送信
アプリ側がそのハッシュを「正しいパスワード」として扱い、認証が通ってしまう

すでにFortiWebでは、パストラバーサル経由で管理者権限を奪取できるCVE-2025-64446が公開されており、この脆弱性は実際に攻撃で悪用されていることが各種レポートで報告されています。

こうした別の脆弱性でハッシュを取得 → 今回のCVE-2025-64471でログインという複合攻撃が成立しうるため、単体の問題としてではなく、過去・現在の脆弱性との「セット」でリスクを評価する必要があります。

Fortinet製品脆弱性の悪用事例

FortiOS SSL-VPNのRCE（CVE-2024-21762 など）

Fortinet製品は、以前から境界防御の要として広く利用されていることから、攻撃者にとっても格好のターゲットになってきました。

2024年には、FortiOSのSSL VPN機能における境界外書き込み脆弱性（CVE-2024-21762）が公表され、日本のIPAや各ベンダーからも緊急の注意喚起が出されています。認証不要で任意コード実行が可能な重大脆弱性であり、CISAのKEV（Known Exploited Vulnerabilities）にも登録されるなど、実際の悪用が強く懸念される状況でした。