概要

FortinetのFortiOSおよびFortiSwitchManagerのcw_acdデーモンコンポーネントに、リモートの認証されていない攻撃者が任意のコードを実行できるヒープベースのバッファオーバーフローの脆弱性（CVE-2025-25249）が公表されました。この脆弱性はCVSS v3.1スコア7.4（高）と評価されており、企業のネットワークインフラに重大なリスクをもたらします。

脆弱性の詳細

この脆弱性は、Fortinetセキュリティアプライアンスのファブリック接続とアクセス制御を処理する重要なコンポーネントであるcw_acdデーモン内のヒープベースのバッファオーバーフローメカニズム（CWE-122）に存在します。ネットワークアクセスを持つ攻撃者は、特別に設計されたリクエストを作成してバッファオーバーフローを誘発し、認証情報なしで不正なコード実行を引き起こすことが可能です。

この脆弱性は、ネットワーク経由で攻撃が可能であり、攻撃の複雑性が低いことから、インターネットに公開されているシステムにとって特に懸念されます。Fortinetの製品セキュリティチームが社内でこの脆弱性を発見し、FG-IR-25-084を割り当てました。この問題は2026年1月13日に公表され、Fortinetエコシステム全体での積極的な緩和努力が開始されました。

影響を受けるバージョンと推奨される対策

複数のFortiOSバージョンで即座のパッチ適用が必要です。影響を受けるバージョンと推奨されるアップグレード先は以下の通りです。

• FortiOS 7.6ユーザーはバージョン7.6.4以降にアップグレードする必要があります。
• FortiOS 7.4ユーザーは7.4.9にアップデートする必要があります。
• FortiOS 7.2管理者は7.2.12にパッチを適用する必要があります。
• FortiOS 7.0デプロイメントは7.0.18へのアップグレードが必要です。
• FortiOS 6.4のインストールには、今後リリースされる6.4.17が必要です。
• FortiSwitchManager 7.2.0-7.2.6を実行しているインストールは7.2.7にアップグレードする必要があります。
• FortiSwitchManager 7.0ユーザーは7.0.6以降が必要です。
• FortiSASEバージョン25.2.bは25.2.cで修正されており、顧客は自動的に保護されます。
• FortiSASE 25.1.aは修正済みリリースへの移行が必要です。
• 以前のバージョンは影響を受けません。

一時的な回避策

直ちにパッチを適用できない組織は、一時的な回避策を実装することが推奨されます。具体的には、影響を受けるインターフェースから「ファブリック」アクセスを削除するか、ローカルインのファイアウォールポリシーを通じてCAPWAP-CONTROLアクセスを制限する方法があります。管理者は、インターフェース設定を変更するか、ファイアウォールルールを通じてUDPポート5246-5249をブロックすることで、ファブリックサービス列挙を無効にできます。

結論と推奨事項

高い深刻度評価とリモートからの悪用可能性を考慮すると、影響を受ける組織はFortinetの公式アップグレードツールを使用してパッチ適用を最優先すべきです。また、防御者はcw_acdデーモンを標的とした疑わしいリクエストについてファイアウォールログをレビューし、Fortinetセキュリティアプライアンス上の不正なコード実行の兆候を監視することも重要です。

元記事: https://gbhackers.com/fortios-and-fortiswitchmanager-flaw/