Cisco の深刻な脆弱性 CVE-2022-20812 が FIX：機密ファイルの書き換えが生じる？

Cisco fixed a critical arbitrary File Overwrite flaw in Enterprise Communication solutions

2022/07/08 SecurityAffairs — Cisco は、Expressway シリーズおよび、TelePresence Video Communication Server (VCS) に存在する、深刻な脆弱性 CVE-2022-20812 (CVSS：9.0) に対処するセキュリティ・パッチをリリースした。この脆弱性の悪用に成功した攻撃者は、ルート権限で基礎となるオペレーティング・システム上のファイルを上書できる。この脆弱性は、Expressway Control (Expressway-C) および Expressway Edge (Expressway-E) デバイスに影響する。

Cisco が発表したアドバイザリには、「Cisco Expressway シリーズと、Cisco TelePresence VCS の、クラスタ・データベース API に存在する脆弱性により、アプリケーションの Administratorread-write 権限を持つ認証済みのリモート攻撃者が、対象デバイス上で絶対パストラバーサル攻撃を行い、基礎となるオペレーティング・システム上のファイルを、ルートユーザーとして上書きする恐れがある」と記されている。

この脆弱性の根本的な原因は、ユーザーが入力するコマンドに対する、不十分な引数の検証にある。脅威アクターは、read-write 権限のある管理者としてシステムに認証され、細工したコマンドを入力／送信することで、この脆弱性を誘発できる。

また、Expressway シリーズと、TelePresence VCS において、CVE-2022-20813 (CVSS Score 9.0) として追跡されている、Null Byte poisoning の問題も対処されている。

Cisco のアドバイザリには、「Cisco Expressway シリーズと、Cisco TelePresence VCS の不十分な証明書検証の脆弱性は、認証されていないリモートの攻撃者に対して、機密データへの不正アクセスを許す可能性がる」と記している。

この欠陥は、不適切な証明書の検証によるものだ。攻撃者は、中間者技術を介してデバイス間のトラフィックを傍受し、細工した証明書を用いてエンドポイントになりすますことで、この脆弱性を誘発できる。攻撃者は、傍受したトラフィックの平文での閲覧や、操作などが可能になる。

いずれの問題も、Expressway シリーズと、TelePresence VCS リリース 14.0.7 で対処されているが、これらの脆弱性に対処する回避策は存在しない。良い知らせは、これらの脆弱性を悪用する、野放し状態の攻撃が認識していないことだ。

7月6日にも、Cisco の Expressway と Cisco TelePresence Video Communication Server (VCS) に２つの脆弱性が存在するという発表がありました。最近の Cisco に関しては、6月15日の Cisco Secure Email の認証回避の脆弱性 CVE-2022-20798 や、6月17日の Cisco VPN Router のゼロデイ脆弱性 CVE-2022-20825 などがあります。