CVE-2022-28672

CVE-2022-28672 Foxit PDF Readerの脆弱性 - UaF - RCE - JIT Spraying FortiOS、FortiProxy、FortiSwitchManagerの認証バイパスのIOC (CVE-2022-40684)

はじめに 最近のFortiOS / FortiProxy / FortiSwitchManagerのCVEは、実際に悪用されています。この脆弱性に関する追加情報を提供し、ユーザーが侵害されたかどうかを判断できるようにしたいと思います。この投稿では、FortiOS 7.2.1のログ有効化とIOCについて説明します。これらの手順は他の脆弱な製品でも機能する可能性がありますが、当ラボでは他の製品をテスト用に設定していません。技術的な詳細はこちらをご覧ください。

ログ まだ設定されていない場合、REST APIのログはFortinetのCLIから以下のコマンドで設定できます。

fortios_7_2_1 # config log setting fortios_7_2_1 (setting) # set rest-api-set enable fortios_7_2_1 (setting) # set rest-api-get enable fortios_7_2_1 (setting) # end fortios_7_2_1 #

IOCs

Fortinetの推奨に従い、デバイスのログで user="Local_Process_Access" を確認することに加えて、影響を受けるシステムでは、user_interface="Node.js" または user_interface="Report Runner" のログも確認する必要があります。以下のスクリーンショットは、当ラボシステムで実行されたエクスプロイトの例です。

ノードJSログ ![ノードJSログ] ノードJSログ

レポートランナーログ ![レポートランナーログ] レポートランナーログ

このエクスプロイトは、任意のHTTPメソッド（GET、POST、PUT、DELETEなど）で使用できます。また、REST API要求のエラーは、攻撃者が成功しなかったことを示すものではありません。当ラボ環境では、失敗したと報告されたREST API要求を介して、管理者ユーザーのSSH鍵を変更することができました。また、本番環境で使用するように設定されたシステムでは、これらのIOCに自然に一致するログが生成される可能性があることにも留意してください。ただし、これらのIOCが機密性の高いREST APIエンドポイントをターゲットとしたURLと一致することは想定されていません。

攻撃者の考え方

/api/v2/ コレクションのエンドポイントは、システムの設定や管理者ユーザーの変更に使用できます。上記の条件を満たし、かつURLに /api/v2/ を含むログが見つかった場合は、懸念すべきです。一致するログエントリをさらに調査することで、攻撃が引き起こした被害を明らかにできる可能性があります。さらに、攻撃者は以下のアクションを実行してシステムをさらに侵害する可能性があります。

• 管理者ユーザーのSSH鍵を変更し、攻撃者が侵害されたシステムにログインできるようにする。
• 新しいローカルユーザーを追加する。
• トラフィックをリダイレクトするためにネットワーク設定を更新する。
• システム設定をダウンロードする。
• パケットキャプチャを開始してトラフィックをキャプチャする。

緩和策

攻撃を防ぐために、直ちに緩和策を実施することを推奨します。これらには以下が含まれます:

• すべてのシステムが最新バージョンのFortiOSに更新されていることを確認する。
• 管理者ユーザーに強力なパスワードを設定する。
• 管理者ユーザーに二要素認証を設定する。
• 保存されたパスワードを保護するために暗号化パスワードを設定する。
• REST APIエンドポイントへのアクセスを信頼できるIPアドレスのみに制限する。
• REST APIの使用状況を監視するためにREST APIログを有効にする。

結論 このCVEは、システムを最新の状態に保ち、REST APIエンドポイントを適切なセキュリティ対策で保護することの重要性を思い出させるものです。FortiOS、FortiProxy、FortiSwitchManagerのユーザーは、将来の攻撃から保護するために直ちに対策を講じ、システムが侵害されていないか完全に調査する必要があります。