FortiMailのWebメール機能にSQLインジェクション脆弱性、認証済みユーザーによる悪用の可能性
FortiMailのWebメール機能にSQLインジェクション脆弱性、認証済みユーザーによる悪用の可能性
Fortinetは、同社のFortiMailのWebメール機能にSQLインジェクションの脆弱性が存在することを公表した。この脆弱性は、認証済みの攻撃者が細工したHTTPリクエストを送信することで、不正なSQLクエリを実行できる可能性があるというものだ。問題は、2026年10月13日にBurnaby InfosecチームのJaguar Perlas氏によって報告されたとされている。
Fortinetによると、FortiMail Cloudでは2026年第1四半期にこの問題への修正が適用されており、クラウドサービスの利用者が個別に対応する必要はないという。こうした修正により、クラウド環境における脆弱性の悪用リスクが低減される。ただし、脆弱性の報告日と修正時期の前後関係については、公開情報との照合が必要となる。
SQLインジェクションは、Webアプリケーションがデータベースに渡す入力値を適切に処理しない場合に発生する脆弱性である。攻撃者は、入力値に不正なSQL文を組み込むことで、アプリケーションが意図しないデータベース操作を実行させる可能性がある。悪用の条件やデータベースに付与された権限によっては、情報の不正取得、データの変更、削除などにつながるおそれがある。今回のFortiMailの脆弱性は、認証済みユーザーによる悪用が想定されている点が特徴となっている。
今回の事例は、認証済みの利用者から送信されるリクエストであっても、アプリケーション側で適切な入力処理が必要であることを示している。認証の有無だけでは不正なデータベース操作を防げないため、Webアプリケーションでは入力値の処理やデータベースへのアクセス権限を適切に制御する必要がある。また、FortiMailを運用する組織では、利用している製品やサービスの修正状況を確認し、影響を受ける環境がある場合にはFortinetが案内する対応を実施することが求められる。
