Fortinet社のFortiPAM Chrome拡張機能に存在する深刻な脆弱性により、悪意のあるWebサイトが特権ブラウザセッションの設定を乗っ取り、ブラウザのプロキシを設定したり、攻撃者が指定したタブを開いたり、画面録画を外部に持ち出したりできる可能性があったことがわかりました。
CVE-2026-84388として追跡されているこの脆弱性は、CVSSスコア9.1と評価されており、100万人以上のユーザーが利用する拡張機能に影響を及ぼしていました。
セキュリティ研究者のJames Arnott氏が、Fortinet社の特権アクセス管理(PAM)ブラウザコンポーネントに存在するこの問題を公表しました。このコンポーネントは、対象を開いたり、認証情報を注入したり、プロキシポリシーを適用したり、監査目的でユーザーの活動を記録したりすることで、特権セッションを仲介する役割を担っています。
こうした機能は、任意のWebサイトが拡張機能の信頼済みサーバーおよびセッション設定に影響を与えられる状況になると、大きなリスクに変わります。
今回の攻撃は、正規のFortiPAMサーバーを侵害しなくても組み合わせ可能な一連の欠陥に起因していました。1つ目の問題は、https://*/api/v2/monitor/web-ui/stateというパスへのリクエストを監視するwebRequestリスナーに関するものです。
このパターンに合致するリクエストが発生すると、拡張機能はそのホスト名を信頼済みサーバーのリストに追加していたとされています。この処理では、リクエストの発信元の検証やリクエストが正常に完了したかどうかの確認は行われていませんでした。
そのため、悪意のあるサイトは攻撃者が管理するドメインに対して自らリクエストを送り、このリスナーを発火させることで、FortiPAMにそのドメインを信頼済みとして認識させることが可能でした。
拡張機能の外部メッセージング設定も、この問題を深刻化させる要因となっていました。externally_connectable設定が<all_urls>からのメッセージを許可していたため、任意のWebサイトが拡張機能と通信できる状態になっていたのです。
攻撃者はこのアクセス経路を利用してlauncherメッセージを送信し、拡張機能がセッションデータを取得すべきFortiPAMサーバーとして、自分自身のインフラを指定することができました。
James Arnott氏によると、この起動プロセスを可能にしたのはトークン検証の不備でした。アクセストークンがJWT形式になっていない場合でも、拡張機能はその検証を省略してしまう可能性があったのです。
つまり、悪意のあるWebサイトが不正な形式のトークンを渡すことで、拡張機能を攻撃者のサーバーへ誘導し、攻撃者が管理する特権セッション設定を取得させることができました。
FortiPAMは特権セッションを起動する前に同意ダイアログを表示していました。しかし、このプロンプトはメインワールドのDOM内にレンダリングされていたため、同じ悪意のあるWebサイト上で動作するスクリプトからアクセス可能な状態にさらされていました。
攻撃者はダイアログの「許可」ボタンの位置を特定し、それをプログラムによって自動的にクリックすることで、実質的にユーザーの実質的な操作なしにセッションを承認させることができました。
いったんセッションが起動すると、悪意のある設定によって拡張機能にブラウザのプロキシ設定を変更させたり、新しいタブを開かせたり、そのタブの録画を攻撃者が管理するエンドポイントへ送信させたりすることが可能でした。
これは特に深刻なフィッシングのリスクを生み出すものでした。被害者は開かれたタブ内の機微な情報を閲覧するだけで、その内容が録画され窃取されてしまう恐れがあったためです。
この録画機能こそが、最も差し迫った情報漏えいの懸念でした。攻撃者は認証情報、クラウドコンソールのデータ、APIキー、内部ダッシュボード、管理インターフェースなど、ブラウザ上に表示されるあらゆる機微情報を取得できた可能性があります。
プロキシの乗っ取りについてもリスクとなり得ますが、攻撃者が証明書検証を突破するか、安全でないHTTPサービスへの接続を強制できない限り、HTTPSによる保護が直接的な中間者攻撃を難しくしています。現時点で、実際に悪用された事例が公になった証拠はありません。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。TIフィードを統合することで、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/fortinet-fortipam-chrome-extension-flaw/
