不正なChrome拡張機能、公式ストアで多数発見される

人気のあるソフトウェアの公式の拡張機能ストアで不正な挙動を示す拡張が発見された事例は、先日も開発者向けツール「Visual Studio Code」で発生しています。

ストアに登録された当初は害のなかった拡張機能が、ある程度人気を得るまで潜伏してから悪意のあるコードを追加するケースや、買収等で開発元が変わったことをきっかけに不正な挙動が追加されるケースも決して珍しくはありません。

Chrome以外にもFirefox等のWebブラウザ―あるいはスマートフォンアプリと同様、インストールされる拡張機能はソフトウェア上で様々な機能の使用を許可されることになりますので、拡張ストアやSNS上でのレビュー・報告等を十分に確認し、必要最低限の拡張機能のみインストール・有効化すること、また後からでも不要な拡張機能の棚卸し、万が一身に覚えのない拡張機能が入っていた場合のアンインストール等を行うことが重要です。

CVE-2023-27997の脆弱性が修正されたのは、FortiOSバージョン6.0.17・6.2.14・6.4.13・7.0.12・7.2.5・7.4.0、FortiOS-6K7Kバージョン6.0.17・6.2.15・6.4.13・7.0.12、FortiProxyバージョン2.0.13・7.0.10・7.2.4となっています。

FortiOSやFortiProxyでは、ここ数年にSSL-VPNの重大な脆弱性が度々発見・修正され、これらを悪用して組織内ネットワークに侵入する等の攻撃が発生しています。

未対策の機器については早々に攻撃者に発見されてターゲットとなること、さらには脆弱性情報が発表される前に脆弱性を悪用されている可能性も考えられるため、SSL-VPN機能を使用している場合は速やかにアップデートを行い、またVPNアクセスログ等を確認し、アップデートまでの間に攻撃を受けた様子が見られた場合はアカウント情報の変更等を行うことを強く推奨致します。