FortiOS認証バイパスがVPNおよびSSOデプロイメントを危険にさらす

Fortinetは、FortiOSにおける認証バイパスの脆弱性を開示しました。

特定の構成下では、この欠陥により攻撃者がLDAPベースの認証制御をバイパスし、保護された企業ネットワークへの不正アクセスを取得できる可能性があります。

この脆弱性は「特定のLDAPサーバー構成下で、認証されていない攻撃者がAgentless VPNまたはFSSOポリシーのLDAP認証をバイパスすることを可能にする可能性があります」とFortinetがアドバイザリで述べています。

FortiOS認証問題の説明

FortiOSは、ネットワーク境界に一般的に展開され、SSL-VPN、Agentless VPN、およびLDAPと統合されたシングルサインオン(SSO)ポリシーを通じて、機密性の高い内部リソースへのアクセスを実施します。

これらの環境では、ディレクトリサービスがユーザーアクセスの主要なゲートキーパーとして機能することがよくあります。

その結果、認証チェックをバイパスできる脆弱性は、境界制御を弱め、アイデンティティベースのアクセス決定における信頼を損なう可能性があります。

外部に公開されたVPNサービスやアイデンティティ統合ファイアウォールポリシーを管理する組織にとって、この問題は、ディレクトリ構成がアクセス制御の前提と一致していることを確認することの重要性を強調しています。

アイデンティティインフラストラクチャの誤構成や許容的なデフォルト設定は、境界デバイスが完全にパッチされている場合でもリスクをもたらす可能性があります。

CVE-2026-22153として追跡されているこの脆弱性は、FortiOSで認証リクエストを処理するfnbamdデーモンに存在します。

これは、ディレクトリサーバーが認証されていない、または匿名のバインドを許可するように構成されている場合のLDAP認証レスポンスの不適切な処理に起因しています。

特に認証されていないバインドを許可する特定のLDAP構成下では、FortiOSがLDAPレスポンスを認証成功として誤って扱う可能性があります。

この動作により、攻撃者が資格情報の検証を完全にバイパスし、有効な資格情報なしでLDAPベースのAgentless VPNまたはFSSOポリシーによって保護されたリソースへのアクセスを取得できる可能性があります。

悪用は特定のディレクトリ設定に依存しますが、悪用が成功すると、SSL-VPNコンポーネントを通じて内部ネットワークへの不正アクセスが可能になる可能性があります。

FortiOSバージョン7.6.0から7.6.4のみが影響を受け、他のすべての主要ブランチは影響を受けません。影響を受けるバージョンを実行している組織は、問題を完全に修正するためにFortiOS 7.6.5以降にアップグレードする必要があります。

開示時点で、Fortinetは積極的な悪用の証拠は報告していません。

この脆弱性はネットワーク境界でのアイデンティティベースのアクセス制御に影響を与えるため、軽減策にはソフトウェアアップデートの適用以上のものが含まれます。

組織は、FortiOS構成と認証動作に影響を与えるディレクトリ統合も確認する必要があります。

特に外部アクセスにさらされている、またはLDAPベースのVPNおよびSSOポリシーを実施している影響を受けるFortiOSシステムにパッチを適用します。
認証バイパス条件を防ぐためにディレクトリサーバーで認証されていないLDAPバインドを無効化します。
単一の認証制御への依存を減らすために、VPNおよびSSOアクセスに多要素認証(MFA)を実施します。
ネットワークセグメンテーション、IP許可リスト、または地理位置情報ベースのアクセス制御を使用してVPNおよび認証サービスを制限します。
異常または予期しない動作について認証ログ、VPNアクセス記録、およびディレクトリアクティビティを監視します。
最小権限を確保し、フェイルオープン認証動作を回避するためにLDAP統合とアクセスポリシーを見直して厳格化します。
認証バイパスまたはアイデンティティインフラストラクチャの侵害をシミュレートするシナリオを使用してインシデント対応計画を定期的にテストします。

これらの手順を組み合わせることで、認証バイパスの可能性を減らし、潜在的な露出を制限し、アイデンティティベースのアクセス制御に関する回復力を強化できます。

この脆弱性は、アイデンティティ統合を別個の依存関係として扱うのではなく、境界セキュリティ計画の一部として含めることの重要性を強調しています。

FortinetはFortiOSの特定のブランチに影響を限定し、既知の悪用は報告していませんが、この問題はディレクトリ構成の選択がアクセス制御を弱める可能性があることを示しています。

このようなアイデンティティに依存するリスクは、組織がユーザー、デバイス、および認証パス全体で暗黙の信頼を最小限に抑えるゼロトラストソリューションを活用している理由の1つです。