<p><style_prompt> role: expert_csirt_security_engineer style: professional, technical, objective framework: RESEARCH-FIRST, PLAN output_format: structured_technical_report </style_prompt> 本記事は<strong>Geminiの出力をプロンプト工学で整理した業務ドラフト（未検証）</strong>です。</p> <h1 class="wp-block-heading">FortiManagerにおける認証回避の脆弱性（CVE-2024-47575）に対する緊急対策指針</h1> <h2 class="wp-block-heading">【脅威の概要と背景】</h2> <p>FortiManagerのfgfmデーモンにおける認証欠如の脆弱性（CVSS 9.8）。未認証の攻撃者が管理サーバーへの侵入や管理下デバイスの制御を可能にする。（69文字）</p> <p>本脆弱性は、FortiGate-FortiManager（FGFM）プロトコルにおける認証処理の不備を突くものです。2024年10月にFortinet社より公開され、既にゼロデイ攻撃（FortiJump）としての悪用が確認されています。インターネット上に露出しているFortiManager、およびFortiManager Cloud、FortiAnalyzer（一部構成）が対象となり、影響範囲は極めて広大です。</p> <h2 class="wp-block-heading">【攻撃シナリオの可視化】</h2> <div class="wp-block-merpress-mermaidjs diagram-source-mermaid"><pre class="mermaid"> graph TD A["攻撃者"] -->|FGFMプロトコルによる不正接続| B("FortiManager fgfmデーモン") B -->|認証プロセスのバイパス| C{"認証回避成功"} C -->|不正なデバイス登録| D["管理情報の窃取 / 任意コード実行"] D -->|管理下のFortiGateへ波及| E["企業ネットワーク全体の侵害"] </pre></div> <p>攻撃者は、正当なシリアル番号を偽装、あるいは特定のペイロードを送信することで、FortiManagerに「未知のデバイス」として自身を登録させます。これにより、管理サーバー上のファイルを窃取したり、管理下のFortiGateの設定を改ざんしたりする権限を取得します。</p> <h2 class="wp-block-heading">【安全な実装と設定】</h2> <p>脆弱性の根本原因は、未知のシリアル番号を持つデバイスからの接続をデフォルトで許可、あるいは認証をバイパスできてしまう点にあります。</p> <h3 class="wp-block-heading">1. 脆弱な設定（誤用例）</h3> <p>デフォルト、あるいは利便性を優先して未知のデバイス接続を制限していない状態です。</p> <div class="codehilite"> <pre data-enlighter-language="generic"># 脆弱な状態：未知のシリアル番号を持つデバイスの登録を許可している config system global set fgfm-deny-unknown disable end </pre> </div> <h3 class="wp-block-heading">2. 安全な代替案（推奨設定）</h3> <p>アップデートが困難な場合の暫定措置として、接続可能なシリアル番号をホワイトリスト化し、未知の接続を明示的に拒否します。</p> <div class="codehilite"> <pre data-enlighter-language="generic"># 推奨：未知のデバイス接続を拒否し、管理IPを制限する config system global set fgfm-deny-unknown enable end # 特定のIPアドレスからのみFGFM接続を許可する（ACLの適用） config system admin-host edit 1 set ip 203.0.113.10 255.255.255.255 next end </pre> </div> <h2 class="wp-block-heading">【検出と緩和策】</h2> <h3 class="wp-block-heading">検出ポイント</h3> <ul class="wp-block-list"> <li><p><strong>ログの確認</strong>: 以下のログIDが出力されていないかSIEM等で監視してください。</p> <ul> <li><p><code>Log ID: 0100021508</code> (Device registered)</p></li> <li><p><code>Log ID: 0100021501</code> (Connection from unknown device)</p></li> </ul></li> <li><p><strong>不審なシリアル番号</strong>: 管理画面（Device Manager）に見覚えのないシリアル番号のデバイスが登録されていないか確認。</p></li> <li><p><strong>IoCの活用</strong>: Fortinetが公開しているIPアドレス（例: <code>45.32.41.202</code> 等）への通信痕跡を調査。</p></li> </ul> <h3 class="wp-block-heading">緩和策（Workaround）</h3> <ol class="wp-block-list"> <li><p><strong>最新ファームウェアへのアップデート</strong>: (例: FortiManager 7.6.1, 7.4.5, 7.2.8 以上への更新)</p></li> <li><p><strong>FGFM接続のIP制限</strong>: FortiGate側の送信元IPを固定し、FortiManager側でローカルインアクセス制御を実施。</p></li> <li><p><strong>自己署名証明書の更新</strong>: 侵害が疑われる場合は、FGFM接続に使用する証明書の再生成を検討。</p></li> </ol> <h2 class="wp-block-heading">【実務上の落とし穴】</h2> <ul class="wp-block-list"> <li><p><strong>可用性への影響</strong>: <code>fgfm-deny-unknown enable</code> を設定すると、新規導入時や機器交換時のゼロタッチプロビジョニングが動作しなくなります。実務では作業時のみ一時的に許可する運用フローへの変更が必要です。</p></li> <li><p><strong>誤検知のリスク</strong>: ネットワーク構成の変更により、正当なFortiGateが一時的に「未知のデバイス」と判定される場合があります。IPアドレスだけでなく、シリアル番号ベースでの照合が不可欠です。</p></li> <li><p><strong>間接的影響</strong>: FortiAnalyzerをFortiManager配下で運用している場合、FortiAnalyzer側も脆弱性の影響を受ける可能性があります。</p></li> </ul> <h2 class="wp-block-heading">【まとめ】</h2> <p>組織として直ちに実施すべき3つの優先事項：</p> <ol class="wp-block-list"> <li><p><strong>露出確認</strong>: Shodan等を利用し、自組織のFortiManager（ポート541/TCP）がインターネットから直接アクセス可能か確認する。</p></li> <li><p><strong>パッチ適用と設定変更</strong>: 対象バージョンを特定し、最新パッチを適用。適用までの間は <code>fgfm-deny-unknown enable</code> を強制する。</p></li> <li><p><strong>ログの遡及調査</strong>: 過去1ヶ月分のシステムログをスキャンし、身に覚えのないデバイス登録やAPI操作が行われていないか精査する。</p></li> </ol> <h3 class="wp-block-heading">参考文献</h3> <ul class="wp-block-list"> <li><p><a href="https://www.fortiguard.com/psirt/FG-IR-24-423">FortiGuard PSIRT Advisory (FG-IR-24-423)</a></p></li> <li><p><a href="https://www.jpcert.or.jp/at/2024/at240022.html">JPCERT/CC: Fortinet製品の脆弱性（CVE-2024-47575）に関する注意喚起</a></p></li> <li><p><a href="https://nvd.nist.gov/vuln/detail/CVE-2024-47575">NVD – CVE-2024-47575</a></p></li> </ul>

graph TD
    A["攻撃者"] -->|FGFMプロトコルによる不正接続| B("FortiManager fgfmデーモン")
    B -->|認証プロセスのバイパス| C{"認証回避成功"}
    C -->|不正なデバイス登録| D["管理情報の窃取 / 任意コード実行"]
    D -->|管理下のFortiGateへ波及| E["企業ネットワーク全体の侵害"]

# 脆弱な状態：未知のシリアル番号を持つデバイスの登録を許可している

config system global
    set fgfm-deny-unknown disable
end

# 推奨：未知のデバイス接続を拒否し、管理IPを制限する

config system global
    set fgfm-deny-unknown enable
end

# 特定のIPアドレスからのみFGFM接続を許可する（ACLの適用）

config system admin-host
    edit 1
        set ip 203.0.113.10 255.255.255.255
    next
end