2022.11.15

2022年10月度 MBSD-SOCの検知傾向トピックス

監視

Fortinet製品における認証バイパスの脆弱性（CVE-2022-40684）を狙った攻撃

　10月は、Fortinet製品の脆弱性（CVE-2022-40684）を狙った攻撃を新たに観測しました。本脆弱性は、10/10(月)にFortinet社が公開したもので、影響対象の製品はFortiOS、FortiProxyおよびFortiSwitchManagerとなっています。本脆弱性を悪用された場合、不正なHTTP/HTTPSリクエストにより認証をバイパスされ、管理インタフェースが不正に操作されてしまう恐れがあります。

　下図は10月における本脆弱性を狙った攻撃数の推移です。弊社SOCでは10/14(金)から攻撃を観測しています。本脆弱性は、既にPoC（概念実証コード）が公開されているため、今後さらに攻撃が増加する可能性があります。

グラフ.png

　下図は弊社SOCで検知した攻撃のパケットペイロードです。攻撃元の国は、アメリカ（40.2%）、オランダ（35.2%）、モルドバ（12.1%）、ドイツ（4.7%）香港（2.4%）となっていました。

図. CVE-2022-40684の脆弱性を狙った攻撃のパケットペイロード（一部抜粋）
PUT /api/v2/cmdb/system/admin/admin HTTP/1.1 Connection: keep-alive Host: xx.xx.xx.xx Content-Length: 407 User-Agent: Report Runner Accept-Encoding: gzip, deflate Accept: / Forwarded: for="[127.0.0.1]:8888";by="[127.0.0.1]:8888" Content-Type: application/json {"ssh-public-key1": "\"ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCkLjhd…（以降省略）