FortiOS - Heap buffer underflow in administrative interface　の影響について　

【CVE番号】
　CVE-2023-25610

【対象製品/バージョン】
　FortiGate、FortiWIFI
　　7.2.3, 7.2.2, 7.2.1, 7.2.0
　　7.0.9, 7.0.8, 7.0.7, 7.0.6, 7.0.5, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0
　　6.4.11, 6.4.10, 6.4.9, 6.4.8, 6.4.7, 6.4.6, 6.4.5, 6.4.4, 6.4.3, 6.4.2, 6.4.1, 6.4.0
　　6.2.12, 6.2.11, 6.2.10, 6.2.9, 6.2.8, 6.2.7, 6.2.6, 6.2.5, 6.2.4, 6.2.3, 6.2.2, 6.2.1, 6.2.0
　　ver.6.0.x 全てのバージョン

　FortiOS-6K7K
　　7.0.5
　　6.4.10, 6.4.8, 6.4.6, 6.4.2
　　6.2.12, 6.2.11, 6.2.10, 6.2.9, 6.2.7, 6.2.6, 6.2.4

　FortiProxy
　　7.2.2, 7.2.1, 7.2.0
　　7.0.8, 7.0.7, 7.0.6, 7.0.5, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0
　　2.0.11, 2.0.10, 2.0.9, 2.0.8, 2.0.7, 2.0.6, 2.0.5, 2.0.4, 2.0.3, 2.0.2, 2.0.1, 2.0.0
　　ver.1.2.x 全てのバージョン
　　ver.1.1.x 全てのバージョン


【影響】
　FortiOSの管理インターフェース (GUI) に脆弱性 (バッファアンダーフロー) が内在し、
　外部からの認証されていない攻撃者が、悪意を持って細工したHTTPリクエストを介して、
　FortiGate上で任意のコードが実行される可能性が確認されています。またプロセスが
　使用している動的メモリ空間を操作して、プロセスクラッシュを連続して発生させることで
　DoS攻撃となる可能性があります。

　　影響を受けるFortiOSバージョンを実行している場合でも、以下のハードウェアデバイスでは問題のDoS部分に
　　関してのみが影響を受けます。
　　任意のコードの実行に関しては影響を受けません。
　　※記載されていないデバイスは両方に対して影響を受けます。

　　FortiGateRugged-100C
　　FortiGate-100D
　　FortiGate-200C
　　FortiGate-200D
　　FortiGate-300C
　　FortiGate-3600A
　　FortiGate-5001FA2
　　FortiGate-5002FB2
　　FortiGate-60D
　　FortiGate-620B
　　FortiGate-621B
　　FortiGate-60D-POE
　　FortiWiFi-60D
　　FortiWiFi-60D-POE
　　FortiGate-3 Gen2
　　FortiGate-300C-DC-Gen2
　　FortiGate-300C-LENC-Gen2
　　FortiWiFi-60D-3G4G-VZW
　　FortiGate-60DH
　　FortiWiFi-60DH
　　FortiGateRugged-60D
　　FortiGate-VM01-Hyper-V
　　FortiGate-VM01-KVM
　　FortiWiFi-60D-I
　　FortiGate- 60D-Gen2
　　FortiWiFi-60D-J
　　FortiGate-60D-3G4G-VZW
　　FortiWifi-60D-Gen2
　　FortiWifi-60D-Gen2-J
　　FortiWiFi-60D-T
　　FortiGateRugged-90D
　　FortiWifi-60D-Gen2-U
　　FortiGate-50E
　　FortiWiFi-50E
　　FortiGate -51E
　　FortiWiFi-51E
　　FortiWiFi-50E-2R
　　FortiGate-52E
　　FortiGate-40F
　　FortiWiFi-40F
　　FortiGate-40F-3G4G
　　FortiWiFi-40F-3G4G
　　FortiGate-40F-3G4G-NA
　　FortiGate-40F-3G4G-EA
　　FortiGate-40F-3G4G-JP
　　FortiWiFi-40F-3G4G-NA
　　FortiWiFi-40F-3G4G-EA
　　FortiWiFi- 40F-3G4G-JP
　　FortiGate-40F-Gen2
　　FortiWiFi-40F-Gen2


【対策／ワークアラウンド】
　■対策
　以下の対策済みバージョンへのアップグレードを実施ください。

　FortiGate、FortiWIF
　FortiOS
　　ver.7.2.4 以降
　　ver.7.0.10 以降 (3/13 リリース済み）
　　ver.6.4.12 以降 (3/13 リリース済み）
　　ver.6.2.13 以降 (3/13 リリース済み）

　FortiOS-6K7K
　　ver.7.0.10 以降
　　ver.6.4.12 以降
　　ver.6.2.13 以降

　FortiProxy
　　ver.7.2.3 以降
　　ver.7.0.9 以降 (3/22 リリース済み）
　　ver.2.0.12 以降

　ver.7.2.4は現在リリースに向けたテスト中です。
　ファームウェアをご希望されるお客様はサポートセンターにお問合せください。


　■FortiGate、FortiWIFI（FortiOS）のワークアラウンド
　以下のいずれかの方法で回避することができます。

　1．管理インターフェースGUIのHTTP、HTTPSアクセスを無効化します。

　　# config system interface
　　　　edit　[管理インターフェース]
　　　　　set allowacecss ping ssh ←　http、httpsがありましたら除外して設定します。
　　　　end

　2．local-in-policy を設定し管理インターフェースに到達できる IP アドレスを制限します。
　　アドレス、アドレスグループを作成し、local-in-policy の Firewallルールに設定します。

　　1) アドレスの作成

　　# config firewall address
　　　edit "my_allowed_addersses"
　　　　　set subnet [許可IPアドレス] [許可IPアドレスのサブネット]
　　　end


　　2)　アドレスグループの作成

　　 # config firewall addrgrp
　　　　edit"MGMT_IPs"
　　　　　set member "my_allowed_adresses" ←　1)で作成したアドレス
　　　　end

　　3)　local-in-policyのFirewallルールの作成

　　　# config firewall local-in-policy
　　　　edit 1　
　　　　　set intf [管理インターフェース]
　　　　　set srcaddr "MGMT_IPs"　←　2)で作成したアドレスグループ
　　　　　set dstaddr "all"
　　　　　set action accept
　　　　　set service HTTPS HTTP
　　　　　set schedule "always"
　　　　　set status enable
　　　　next
　　　　edit 2　
　　　　　set intf "any"
　　　　　set srcaddr "all"
　　　　　set dstaddr "all"
　　　　　set action deny
　　　　　set service HTTPS HTTP
　　　　　set schedule "always"
　　　　　set status enable
　　　　end


　　※既にPolicy 番号が利用されてる場合は、使用していない番号を指定してください。
　　番号は　editのあとに？を入力すると確認できます。
　　コマンド例）
　　# config firewall local-in-policy
　　　　edit ?

　　管理インターフェースへのアクセスにデフォルトとは異なるポートを設定している場合は、以下のように
　　サービスを設定し、local-in-policy の service に指定します。

　　# config firewall service custom
　　　　edit GUI_HTTPS
　　　　　set tcp-portrange [admin-sport]
　　　　next
　　　　edit GUI_HTTP
　　　　　set tcp-portrange [admin-port]
　　　end

　　HA構成にて予約済み管理インターフェイスを使用する場合、local-in-policy を少し異なる方法で
　　構成する必要があります。
　　以下のナレッジを参照ください。

　　Technical Tip: How to configure a local-in policy on a HA reserved management interface
　　https://community.fortinet.com/t5/FortiGate/Technical-Tip-How-to-configure-a-local-in-policy-on-a-HA/ta-p/222005

　　信頼されるホストを指定したadminアカウントのログイン制限はメーカーが推奨するワークアラウンドでは
　　ございません。（2023年3月8日時点）

　　adminアカウントに設定する信頼されるホストは指定したホスト以外から管理インターフェースへの
　　アクセスを制限する設定ではなく、adminアカウントの認証の制限になります。
　　（指定したホスト以外からはadminログインができなくなります）


最新の情報、詳細については以下のリンク先にてご確認ください。
■FortiOS / FortiProxy - Heap buffer underflow in administrative interface https://www.fortiguard.com/psirt/FG-IR-23-001