#978 複数の Fortinet 製品に暗号署名の不適切な検証の脆弱性

企業ネットワークの守りの要とも言える、セキュリティ機器そのものに見つかった重大な弱点について、今日はお話しする必要があります。多くの企業で導入されているFortinet製のファイアウォール製品などで、外部からの不正なログインを許してしまう恐れがある脆弱性が発見されました。これは単なるプログラムのミスというだけでなく、管理者権限を奪われる可能性のあるクリティカルな問題です。今回の放送を通じて、リスナーの皆さんは、普段何気なく設定しているログイン機能に潜むリスクと、ベンダーが推奨する回避策を迅速に適用することの重要性を、深く理解できるようになりますよ。

今回発表された内容は、FortiOSをはじめとする複数のFortinet製品において、暗号署名の検証プロセスに不備が見つかったというものです。具体的には、FortiOS、FortiWeb、FortiProxy、そしてFortiSwitchManagerといった製品が対象となっています。この脆弱性が悪用されると、認証を受けていない攻撃者が、細工したSAMLメッセージを使ってFortiCloud SSOのログイン認証をすり抜け、管理者としてログインできてしまう可能性があります。
影響を受けるのは、デバイスの設定でFortiCloud SSOログイン機能が有効になっている場合です。工場出荷時のデフォルト状態では無効になっていますが、管理者がデバイスをFortiCareに登録する際、画面上の設定項目で明示的に無効化しない限り、自動的に有効化されてしまう仕様になっている点に注意が必要です。Fortinet社は、影響を回避するために、一時的にこのログイン機能を無効化するよう強く推奨しています。

まずSSOというのはシングルサインオンの略で、一度のログイン認証で複数のサービスやシステムを利用できるようにする便利な仕組みのことです。例えば、会社のパソコンにログインすれば、メールもチャットもそのまま使えるようなイメージですね。そしてSAMLというのは、そのSSOを実現するために、ユーザーの認証情報を異なるシステム間で安全にやり取りするためのルール、つまりプロトコルのことです。分かりやすく言えば、SAMLメッセージは「通行手形」のような役割を果たしています。この手形が正しい形式で作られていて、信頼できる発行元のハンコ、つまり署名が押されていれば、受け取ったシステム側は「ああ、この人は通していいんだな」と判断して、ログインを許可するわけです。

それがまさに今回の問題の核心部分なんです。先ほどの通行手形の例で言うと、本来であれば、門番は手形に押されたハンコが本物かどうかを厳密にチェックしなければなりませんよね。しかし、検証が不適切であるということは、そのチェックが甘い状態になっているんです。そうなると、悪意のある攻撃者が偽造したハンコを押した「偽の通行手形」、つまり細工されたSAMLメッセージを持ってきたとしても、システムがそれを見抜けずに「本物だ」と誤認して通してしまう恐れがあります。これによって、本来はパスワードを知らないはずの部外者が、正規の管理者のふりをしてシステム内部に侵入できてしまうわけですから、非常に危険な状態と言えます。

そこが一番気になりますよね。この機能は、工場から出荷されたばかりの初期状態では無効になっているので安全なんです。でも、初期設定のウィザードなどを使って製品の保守サポートであるFortiCareに登録する際、画面に「FortiCloud SSOを使用した管理者ログインを許可する」というような項目が出てくるんですが、これが最初からチェックが入った状態になっていることが多いんです。もし、管理者がその意味を深く考えずに「次へ」ボタンを押して登録を進めてしまうと、知らず知らずのうちにこの機能が有効化されてしまいます。ですので、意図して有効にした覚えがなくても、一度設定画面を開いて確認してみることを強くお勧めします。

Fortinet社からは回避策が提示されていますので、それに従うのが一番です。具体的には、管理画面やコマンドラインインターフェースから、FortiCloud SSOによるログイン機能を一時的に「無効」に設定変更することで、この脆弱性の影響を受けなくなります。これは根本的なプログラムの修正パッチを当てるまでの間の、いわば応急処置のようなものですが、攻撃の入り口を塞ぐという意味では非常に効果的です。まずは自社の機器にログインして、FortiCloudに関連する管理者設定の項目を探し、SSOの設定がオンになっていないかを確認し、もしオンであればオフにする、という手順を速やかに行ってください。

今回の件から得られる最大の教訓は、「デフォルトの設定や便利な機能にはリスクが潜んでいるかもしれない」と疑う視点を持つことです。ベンダーが用意してくれるセットアップウィザードは、簡単に設定が完了するように作られていて便利ですが、その裏側でどのような機能が有効化されるのかを一つ一つ理解せずに進めてしまうと、今回のように意図しないセキュリティホールを作ってしまうことになります。便利さとセキュリティはトレードオフの関係にあることが多いのです。何かを「有効」にする時は、それが本当に必要なのか、そしてそれを有効にすることでどんなリスクが生まれるのかを、常に考える癖をつけることが大切ですね。