令和８年11月11日
お客様各位
株式会社ネットワークバリューコンポネンツ
JRPC API における JSON インジェクションの脆弱性[FG-IR-26-219]
平素より弊社サービスをご利用いただき、誠にありがとうございます。
Fortinet社より、エンコードまたはエスケープ処理の脆弱性［CWE-116］を使用した脆弱性が公開されましたので、
ご案内いたします。
■概要
FortiSASE-Sovereign、FortiAnalyzer、FortiManager、FortiAnalyzer Cloud、FortiManager Cloud、および FortiAnalyzer
Big-Data GUI には、出力の不適切なエンコードまたはエスケープ処理の脆弱性 [CWE-116] が存在します。この脆弱性により、
認証されていない攻撃者が、細工した HTTP リクエストを送信することで、許可されていないコードまたはコマンドを実行できる
可能性があります。
■対象製品と影響Versionおよび修正Version
対象製品 影響を受けるVersion 解決Version（＝Ver.UP推奨先）
FortiAnalyzer 8.0 8.0.0 ～ 8.0.2 リリース予定の8.0.3以上にVersionUPかワークアラウンドを適用してください。
FortiAnalyzer 7.6 7.6.0 ～ 7.6.7 7.6.8 以上にVersionUP
FortiAnalyzer 7.4 影響はありません 対応は不要です
FortiAnalyzer 7.2 影響はありません 対応は不要です
FortiAnalyzer Cloud 8.0 8.0.1 ～ 8.0.2 リリース予定の8.0.3以上にVersionUPかワークアラウンドを適用してください。
FortiAnalyzer Cloud 7.6 7.6.0 ～ 7.6.7 7.6.8 以上にVersionUP
FortiAnalyzer Cloud 7.4 影響はありません 対応は不要です
FortiAnalyzer Cloud 7.2 影響はありません 対応は不要です
FortiAnalyzer-BigData 7.6 7.6.0 ～ 7.6.2 リリース予定の7.6.3以上にVersionUPかワークアラウンドを適用してください。
FortiAnalyzer-BigData 7.4 影響はありません 対応は不要です
FortiAnalyzer-BigData 7.2 影響はありません 対応は不要です
FortiManager 8.0 8.0.0 ～ 8.0.2 リリース予定の8.0.3以上にVersionUPかワークアラウンドを適用してください。
FortiManager 7.6 7.6.0 ～ 7.6.7 7.6.8 以上にVersionUP
FortiManager 7.4 影響はありません 対応は不要です
FortiManager 7.2 影響はありません 対応は不要です
FortiManager Cloud 8.0 8.0.1 ～ 8.0.2 リリース予定の以上にVersionUPかワークアラウンドを適用してください。
FortiManager Cloud 7.6 7.6.0 ～ 7.6.7 7.6.8 以上にVersionUP
FortiManager Cloud 7.4 影響はありません 対応は不要です
FortiManager Cloud 7.2 影響はありません 対応は不要です
FortiSASE-Sovereign 26.2 26.2 all versions Fortinet社は、本問題をバージョン 26.2(未リリース)で修正済みです。
そのため、お客様側での対応は不要です。
FortiSASE-Sovereign 25.4 25.4 all versions Migrate to a fixed release
FortiSASE-Sovereign 25.3 25.3 all versions Migrate to a fixed release
FortiSASE-Sovereign 25 25 all versions Migrate to a fixed release
■恒久対策
対策済みのOSにVer.UPして下さい。
■ワークアラウンド
脆弱性は、JSON APIが有効になっている場合にのみ存在します(デフォルトでは無効になります)。プロファイルで
有効にされている場合、以下の構成で無効にできます。
config system admin profile
edit <profile name>
set rpc-permit none
end
■詳細情報
本脆弱性に関する最新情報は、上記Fortinet社サイトをご確認ください。
[Fortinet PSIRT Advisory FG-IR-26-219] https://fortiguard.fortinet.com/psirt/FG-IR-26-219
■お問い合わせについて
ご契約製品に関するご不明点がございましたら、以下までお問い合わせくだい。
公開情報をご確認いただいた上で、ご契約製品に関するご不明点がございましたら、以下までお問い合わせくだい。
※有効な契約のあるシリアル番号をご記載下さい。
NVCカスタマーサポート nvc-tac@nvc.co.jp (弊社営業日9:00～17:00)