Fortinet FortiOS 迄 5.4.9/6.0.1 RSA PKCS #1 弱い暗号化

履歴差分リンクするjsonxmlCTI

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
5.7	$0-$5k	0.00

要約情報

現在、Fortinet FortiOS 迄 5.4.9/6.0.1にて、重大と分類される脆弱性が確認されています。この問題により影響を受けるのは、コンポーネント【RSA PKCS #1】の未知の機能です。未知の値で改ざんすることが、弱い暗号化を突く攻撃に繋がります}。この脆弱性はCVE-2018-9192として知られています。リモートで攻撃を実行することが可能です。

現在、Fortinet FortiOS 迄 5.4.9/6.0.1にて、重大と分類される脆弱性が確認されています。この問題により影響を受けるのは、コンポーネント【RSA PKCS #1】の未知の機能です。未知の値で改ざんすることが、弱い暗号化を突く攻撃に繋がります}。問題をCWEで宣言すると、CWE-310 になります。このバグは 2017年12月22日に発見されました。この脆弱性は 2018年09月05日に「CERT.org」の勧告にて紹介されました。アドバイザリはkb.cert.orgでダウンロードできます。

この脆弱性はCVE-2018-9192として知られています。 CVEの割当は2018年04月02日で行われました。リモートで攻撃を実行することが可能です。技術的な情報は提供されていません。攻撃の実行には高い複雑性が求められます。悪用は困難なようです。この脆弱性の一般的な利用度は平均を下回っています。現時点で、脆弱性の構成から考えられる取引価格帯を約$0-$5k米ドルと算出しました。 MITRE ATT&CKプロジェクトによると、攻撃手法はT1600です。

このエクスプロイトツールは未定義として宣言されています。脆弱性は、少なくとも 257 日の間、非公開の0day攻撃ツールとして扱われました。 0-dayの際、アンダーグラウンド市場での想定価格は$0-$5k前後でした。商用脆弱性スキャナーQualysではプラグイン【 43661 (Fortigate FortiOS Information Exposure Through Discrepancy Vulnerability (FG-IR-17-302)) 】を使用してこの問題をテストできます。