CVE詳細 - CVE-2019-6693-

CVE-2019-6693 の詳細

CVEの情報

説明:
Use of a hard-coded cryptographic key to cipher sensitive data in FortiOS configuration backup file may allow an attacker with access to the backup file to decipher the sensitive data, via knowledge of the hard-coded key. The aforementioned sensitive data includes users' passwords (except the administrator's password), private keys' passphrases and High Availability password (when set).

CVE更新日: 2019-11-21 16:15:13.173000

CVSSバージョン: 3.1

CVSSスコア: 6.5

KEVの情報

KEV更新日: 2025-06-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.066400000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2019-6693は、Fortinet FortiOSにおけるハードコードされた暗号鍵の使用に関する脆弱性です。以下にその詳細を説明します。

1. 脆弱性の概要

FortiOSの構成バックアップファイルにおいて、機密データ（ユーザーパスワード、秘密鍵のパスフレーズ、高可用性（HA）パスワードなど）を暗号化するためにハードコードされた暗号鍵が使用されているという脆弱性です。攻撃者はこのハードコードされた鍵の知識があれば、バックアップファイルにアクセスすることで機密データを復号できます。

1.1 影響

攻撃者がFortiOSの構成バックアップファイルにアクセスできる場合、非管理者ユーザーのパスワード、秘密鍵のパスフレーズ、および設定されている場合のHAパスワードなど、機密情報を復号される可能性があります。これにより、ユーザーアカウントへの不正アクセスやFortiOSシステムのセキュリティが侵害される可能性があります。

1.2 深刻度

CVSSv3.1の基本スコアは6.5で、「中（Medium）」と評価されています。機密性への影響は「高（High）」ですが、整合性および可用性への影響は「なし（None）」とされています。 CISA (Cybersecurity and Infrastructure Security Agency) の「Known Exploited Vulnerabilities Catalog」に掲載されており、実際に悪用が確認されています。ランサムウェアキャンペーンで利用された事例も報告されています。

2. 対象となる環境

Fortinet FortiOSがこの脆弱性の影響を受けます。

2.1 影響を受けるOSバージョン

以下のFortiOSのバージョンが影響を受けます。

5.6.10およびそれ以前のバージョン
6.0.6およびそれ以前のバージョン（6.0.0を含む）
6.2.0バージョン
6.2.1より前の6.2.xバージョン

2.2 影響を受ける設定

この脆弱性は、FortiOSの構成バックアップファイル内で機密データがハードコードされた暗号鍵で暗号化されている場合に影響します。特に、private-data-encryption パラメータが有効化されていない場合、またはユーザーがカスタムキーに変更していない場合、デフォルトのハードコードされた鍵が引き続き使用され、脆弱な状態にあります。

3. 影響を受けた時の兆候

バックアップファイルからの機密データ（ユーザーパスワード、秘密鍵のパスフレーズ、HAパスワードなど）が不正に復号されている。
システムログに、通常とは異なる不正なアクセス試行やログインの成功が見られる。
不正な設定変更や、意図しないVPN接続、またはその他のシステム挙動の異常。

4. 推奨対策

4.1 本対策

FortiOSのバージョンアップグレード: 以下のバージョン以降にアップグレードしてください。
- FortiOS 5.6.11以降
- FortiOS 6.0.7以降
- FortiOS 6.2.1以降
- 最新のファームウェアへの更新も推奨されます。
ベンダーの指示に従った緩和策の適用: Fortinet社が公開しているアドバイザリ「FG-IR-19-007」を参照し、指示に従って対策を適用してください。
private-data-encryption属性の設定: FG-IR-19-007アドバイザリの指示に基づいて、private-data-encryption属性を設定し、ハードコードされた鍵ではないカスタム鍵を使用するように変更してください。

4.2 暫定回避策（緩和策）

FortiOS構成バックアップファイルへのアクセス制限: 認証された担当者のみが構成バックアップファイルにアクセスできるように、厳格なアクセス制御を実装し、監視を強化してください。
パスワードと鍵の定期的な変更: パッチ適用後も、定期的にパスワードと鍵をローテーションしてください。
疑わしいアクティビティの監視: ユーザーアカウントやシステムアクセスに関連する疑わしいアクティビティがないか監視を継続してください。
機密バックアップデータへの追加暗号化の検討: 必要に応じて、機密性の高いバックアップデータに対して追加の暗号化を検討してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る