LokiBlog

セキュリティ関連の記事を公開しています

CVE-2018-13379のパッチが未適用のホストの一覧が公開

脆弱性

こんにちは。Lokiです。

今回は「CVE-2018-13379のパッチが未適用のホスト」が一覧としてハッカーフォーラムで公開されたそうなので、見てみようと思います。該当の製品を使用している人または企業はアップデートしてください。記事見ている方は悪いことはしないように。

経緯

Bank_Securityが、ハッカーフォーラムで情報が共有されていることを発見（元ツイート）

Fortinetの製品において見つかった脆弱性（CVE-2018-13379）について、ネットワークから到達可能、かつ、まだパッチが適用されていないホストを一覧にしてまとめたファイルが公開されました。

  • 公開日はNovember 24, 2020 at 09:00 PM（18日の物もある模様）
  • ファイルサイズは34.745KBだが解凍すると6.7GBのファイルになる
  • ファイルの解凍には別途PWが必要（そのPW取得のために別途8クレジット必要）

公開されているサイトは調べればわかるのと、攻撃を助長させることにつながると考えたためこちらには書きません。

ファイルの内容

実際にファイルを取得してみました。

ファイルの内容はこちらです。（モザイクあり）

これが49577行あります。思いっきりIPアドレス書いてあるので、これから攻撃が増えそうですね。

脆弱性について

ざっくりと、脆弱性について以下にまとめます。

脆弱性情報

概要

脆弱性を利用するとパス・トラバーサルが実行可能になるので、本来は閲覧不可であるファイルを閲覧できます。

CVSS

CVSS v3 による深刻度
基本値: 7.5(重要) [NVD値]

  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし

影響を受ける製品

※SSL VPN サービスを有効化している場合にのみ影響を受ける

  • FortiOS 6.0- 6.0.0 to 6.0.4
  • FortiOS 5.6- 5.6.3 to 5.6.7
  • FortiOS 5.4- 5.4.6 to 5.4.12

解決策

FortiOS 5.4.13, 5.6.8, 6.0.5、6.2.0以上にアップグレード

公式アドバイザリ

FortiOS system file leak through SSL VPN via specially crafted HTTP resource requests

ニュースまとめ

ツイートまとめ