Fortinet、FortiSwitchの重大な脆弱性を修正、対象者はアップデートを(CVE-2024-48887)

​Fortinet(フォーティネット)社は、2025年4月8日にFortiSwitchのGUIにおける重大な脆弱性（FG-IR-24-435:CVE-2024-48887）を公表しました。 ​この脆弱性は、set_passwordエンドポイントにおける認証されていないパスワード変更の問題に起因し、攻撃者が認証なしにパスワードを変更できる可能性があります。

脆弱性の対象バージョン

バージョン	脆弱性の対象バージョン	脆弱性の対策バージョン
FortiSwitch 7.6	7.6.0	Upgrade to 7.6.1 以上
FortiSwitch 7.4	7.4.0 through 7.4.4	Upgrade to 7.4.5 以上
FortiSwitch 7.2	7.2.0 through 7.2.8	Upgrade to 7.2.9 以上
FortiSwitch 7.0	7.0.0 through 7.0.10	Upgrade to 7.0.11 以上
FortiSwitch 6.4	6.4.0 through 6.4.14	Upgrade to 6.4.15 以上

脆弱性の概要

Fortinet FortiSwitch GUI の未検証のパスワード変更脆弱性により、認証されていないリモートの攻撃者が特別に細工されたリクエストを介して管理者パスワードを変更できる可能性があります。CVSS3のスコアで9.8/10と高い危険性があるため、対象者はアップデートする事をお勧めします。

また、緩和策としては管理インターフェースから「HTTP/HTTPS アクセス」を無効にし、脆弱な FortiSwitch デバイスへのアクセスを信頼できるホストに制限する事が記載されています。