Cisco の Configuration Manager に深刻な脆弱性:デバッグ・モードから root 権限で RCE

Cisco bug gives remote attackers root privileges via debug mode

2022/01/20 BleepingComputer — Cisco の社内セキュリティ・テストにおいて、Cisco StarOS ソフトウェア の Cisco Redundancy Configuration Manager (RCM) で発見された深刻なセキュリティ上の欠陥が修正された。この脆弱性 CVE-2022-20649 は、認証されていない攻撃者が、脆弱性のあるソフトウェアを実行しているデバイス上で、root レベル権限でリモートコードを実行できるというものだ。

Cisco は、「Cisco RCM for Cisco StarOS Software の脆弱性により、認証されていないリモートの攻撃者が、設定されているコンテナのコンテキストにける root レベルの特権で、対象となるアプリケーション上でリモートコードを実行する可能性がある。この脆弱性は、特定のサービスのデバッグモードが、誤って有効になっていることが原因である」と説明している。

また、「攻撃者は、対象デバイスに接続し、デバッグモードが有効になっているサービスへとナビゲートすることで、この脆弱性の悪用が可能になる。ただし、パッチが適用されていないソフトウェアを実行しているデバイスに、認証のないアクセスを行うためには、脆弱なサービスを発見するための、詳細な偵察を行う必要がある」と付け加えている。

ワイルドな悪用は不可能

Cisco の Product Security Incident Response Team (PSIRT) によると、現在進行中の攻撃で、この脆弱性が悪用されているという事実は認識していないとのことだ。今日、Cisco は、Cisco StarOS 用 Cisco RCM において、デバッグ・サービスが誤って受信接続をリッスンするという、Medium レベルの情報漏えいのバグ CVE-2022-20648 も修正した。

リモートの攻撃者は、デバッグ・ポートに接続した後にデバッグ・コマンドを実行することで、この 2 番目のバグを悪用することが可能だ。このバグの悪用に成功すると、脆弱なデバイス上の高機密性のデバッグ情報へのアクセスを許す可能性がある。

Cisco は、一連の不具合に対応するセキュリティ・アップデートとなる、Cisco RCM for StarOS 21.25.4 をリリースしており、Cisco.com のソフトウェア・センターから入手が可能となっている。

昨年に Cisco は、脅威アクターが root 権限でコードやコマンドをリモートで実行する、いくつかの脆弱性にパッチを適用してきた。たとえば、2021年5月には、SD-WAN vManage に影響を与える、認証前の RCE という深刻な欠陥に対処した。この欠陥により、脅威アクターは基盤となる OS 上で、root 権限の取得が可能になった。また、4月には、同ソフトウェアに含まれる、別の認証前の RCE を修正している。

お隣のキュレーション・チームに確認したら、CVE-2022-20649 と CVE-2022-20648 は、1月20日付けでレポートをアップしたとのことです。どちらも、CVSS 値は 9.0 であり、CWE-200(情報漏えい) と CWE-489(能動的なデバッグコード) に分類されるとのことです。最近の Cisco ですが、1月13日に「Cisco の Unified CCMP/CCDM の深刻な脆弱性 CVE-2022-20658 が FIX」という記事がありました。よろしければ、Cisco で検索も、ご利用ください。

%d bloggers like this: