概要
Fortinet FortiSandboxにおいて、OSコマンドインジェクション（CWE-78）の脆弱性が発見されました。特別に細工されたHTTPリクエストを送信することで、未認証の攻撃者が不正なコマンドを実行できる可能性があります。
FortiSandboxはマルウェア分析・サンドボックス製品であり、セキュリティインフラの一部として機能します。こうした製品自体に深刻な脆弱性が存在することは、守るべきインフラ全体のリスクに直結します。Fortinetのセキュリティアドバイザリ（FG-IR-26-141）を確認し、修正バージョンへの早急なアップデートを推奨します。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 9.8 (CRITICAL) |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 攻撃の複雑さ (AC) | 低 (L) |
| 必要な特権レベル (PR) | なし (N) |
| ユーザー関与 (UI) | 不要 (N) |
| スコープ (S) | 変更なし (U) |
| 機密性への影響 (C) | 高 (H) |
| 完全性への影響 (I) | 高 (H) |
| 可用性への影響 (A) | 高 (H) |
| CWE | CWE-78（OSコマンドの不適切な無害化） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| FortiSandbox | Fortinet | 5.0.0〜5.0.5 |
| FortiSandbox | Fortinet | 4.4.0〜4.4.8 |
| FortiSandbox | Fortinet | 4.2系 全バージョン |
| FortiSandbox Cloud | Fortinet | 5.0.4〜5.0.5 |
| FortiSandbox PaaS | Fortinet | 5.0.4〜5.0.5 |
修正バージョンと回避策
推奨アクション:
- 現在のFortiSandboxバージョンを確認する
- FortinetのセキュリティアドバイザリFG-IR-26-141を参照して修正バージョンを確認する
- 修正バージョンへのアップデートを実施する
- アップデートが困難な場合は、インターネットからFortiSandboxへの直接アクセスを制限する
関連リンク
データソース: NVD (NIST), Fortinet PSIRT
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。