Cisco IOS XE Software の深刻な脆弱性が FIX:CVSS 10.0 も含まれる

Cisco fixes highly critical vulnerabilities in IOS XE Software

2021/09/24 BleepingComputer — Cisco は、ルーターやワイヤレス・コントローラーなどを駆動する、IOS XE のコンポーネント影響する、3つの深刻な脆弱性を修正した。最悪の脆弱性は CVSS 10.0 であり、エンタープライズ・クラスの Catalyst 9800-CL Wireless Controller for Cloud を含む、Cisco Catalyst 9000 Family Wireless Controller に影響をおよぼすものとなる。

リモートからの悪用が認証なしで可能

今回のセキュリティ問題は、Cisco の 2021年9月アップデートの一部であり、修正プログラムの全リストでは 31件のバグが数えられ、そのうち十数個が深刻度の高いスコアとなっている。深刻度が最も高いのは CVE-2021-34770 で、認証されていない攻撃者がリモートから悪用し、root 権限で任意のコードを実行できる脆弱性だと、Cisco アドバイザリは伝えている。

この問題は、Cisco IOS XE Software for Cisco Catalyst 9000 Family Wireless Controllers の Control and Provisioning of Wireless Access Points (CAPWAP) プロトコル処理にある。脆弱性 CVE-2021-34770 の影響を受ける製品は、は以下の通りである。

• Catalyst 9800 Embedded Wireless Controller for Catalyst 9300, 9400, and 9500 Series Switches
• Catalyst 9800 Series Wireless Controllers
• Catalyst 9800-CL Wireless Controllers for Cloud
• Embedded Wireless Controller on Catalyst Access Points

もうひとつの重要度の高い脆弱性は、CVSS 9.8 の CVE-2021-34727 である。この脆弱性は、Cisco IOS XE SD-WAN Software の vDaemon プロセスに存在し、境界チェックが不十分であることが原因だと Cisco は指摘している。攻撃者は、脆弱なターゲット・デバイスに対して、細工されたトラフィックを送信することで、リモートから認証なし悪用できる。悪用に成功すると、最高権限で任意のコマンドを実行し、サービス拒否 (DoS) 状態を引き起こす可能性がある。

以下の製品は、古いバージョンの Cisco IOS XE SD-WAN ソフトウェアを実行しており、SD-WAN 機能がアクティブ (デフォルトでは無効) の場合に、この脆弱性の影響を受ける。

• 1000 Series Integrated Services Routers (ISRs)
• 4000 Series ISRs
• ASR 1000 Series Aggregation Services Routers
• Cloud Services Router 1000V Series

今月パッチ適用における最後の深刻なバグは、Cisco IOS XE Software の AAA (Authentication Authorization Accounting) 機能における CVE-2021-1619 である。リモートの認証されていない攻撃者が利用することで、影響を受けたデバイス上で、インストール/操作/削除することが可能となる。少なくとも、DoS 状態を作り出すリスクが生じる。

この脆弱性は、初期化されていない変数が原因となる。攻撃者は、一連の NETCONF または RESTCONF リクエストをデバイスに送信することで、この脆弱性を悪用できる。この問題は、Cisco IOS XE が Autonomous/Controller モードに設定されているデバイスおよび、Cisco IOS XE SD-WAN に影響する。いずれの場合も、以下の項目が、すべてコンフィグレーションされている場合に、この脆弱性の影響が生じることになる。

• AAA
• NETCONF, RESTCONF, or both
• enable password without enable secret

Cisco のアドバイザリでは CVE-2021-1619 について、対象デバイスで脆弱性を発生させるコンフィグレーションの有無を確認するための、コマンドが記載されている。最新のアップデートを、直ちにインストールできない場合は、回避策や緩和策が存在する。現時点において、上記の深刻な脆弱性が、ワイルドに悪用されたという公開情報は存在しない。

これらの脆弱性は、9月22日の Cisco アドバイザリで公開されています。個々の脆弱性は CVE-2021-34770 は CWE-122CVE-2021-34727 は CWE-120CVE-2021-1619 は CWE-824 となっています。CVSS スコアは、10.0、9.8、9.8 であり、どれも Critical という深刻なものです。悪用される前の、パッチ適用を、お急ぎください。

%d bloggers like this: