Cisco ISE の深刻な脆弱性 CVE-2022-20961 などが FIX：OpenSSL の問題は調査中

Cisco addressed several high-severity flaws in its products

2022/11/04 SecurityAffairs — 今回 Cisco が対応したのは、Identity／eMail／Web Security 製品群における深刻な脆弱性を含む、同社製品に影響を及ぼす複数の欠陥である。その中で最も深刻なものは、Identity Services Engine (ISE) に存在する、クロス・サイト・リクエスト・フォージェリ (CSRF) の脆弱性 CVE-2022-20961 (CVSS：8.8) である。この脆弱性の悪用に成功した未認証のリモート攻撃者は、脆弱なデバイス上で任意のアクションを実行できる。この問題の根本的な原因は、影響を受けるデバイスの Web ベースの管理インターフェイスの不十分な CSRF 対策にある。

同社のアドバイザリには、「Cisco Identity Services Engine (ISE) の Web ベースの管理インターフェイスに存在する脆弱性により、未認証のリモート攻撃者がクロス・サイト・リクエスト・フォージェリ (CSRF) 攻撃を行い、影響を受けるデバイス上で任意のアクションを実行する可能性がある」と記されている。

さらに同社は、「この脆弱性は、影響を受けるデバイスの Web ベースの管理インターフェイスの CSRF 対策が不十分であることに起因している。この脆弱性の悪用に成功した攻撃者は、管理画面のユーザーを騙して、細工したリンクを踏ませることが可能である。この悪用に成功した攻撃者は、ターゲット・ユーザーの権限を用いて、影響を受けるデバイス上で任意のアクションを実行できる」と付け加えている。

また、Cisco は、同社の ISE 製品に存在する Insufficient Access Control の脆弱性CVE-2022-20956 (CVSS：7.1) にも対処している。この脆弱性は、Web ベース管理インターフェイスの不適切なアクセス制御に起因するものだ。その悪用に成功した攻撃者は、影響を受けるデバイスに対して、特別に細工された HTTP リクエストを送信することで、問題を誘発できると指摘している。

同社は、「この脆弱性は、影響を受けるデバイスの Web ベース管理インターフェイスにおける、不適切なアクセス・コントロールに起因している。攻撃者は、影響を受けるデバイスに対して、細工した HTTP リクエストを送信することで、この脆弱性を悪用できる。その悪用に成功した攻撃者は、本来であればアクセス不能な特定のファイルに対して、リストアップ／ダウンロード／削除が可能になり得る」と付け加えている。

Cisco PSIRT は、この脆弱性に関連する PoC エクスプロイト・コードの入手が可能であることを認識している。

また同社は、「Cisco ESA および Cisco Secure Email and Web Manager Next Generation Management における、SQL インジェクションの脆弱性 CVE-2022-20867 と、特権エスカレーションの脆弱性 CVE-2022-20868 を修正した」と述べている。

さらに Cisco は、CVE-2022-3602／CVE-2022-3786 として追跡されている、OpenSSL の脆弱性の潜在的な影響についても調査しているとのことだ。

最近の Cisco の脆弱性ですが、9月30日の「Cisco  iOS／iOS XE における 12件の脆弱性が FIX：DoS 状態に陥る問題など」や、10月21日の「Cisco Identity Services Engine の２つの XSS 脆弱性：パッチ適用と PoC までの間の対策とは？」、「Cisco AnyConnect の脆弱性 CVE-2020-3433 などの悪用を検出：CISA KEV リストにも追加」などがありますので、よろしければ、ご参照ください。それと、OpenSSL の脆弱性については、調査中とのことです。きっと、大量の脆弱性情報が出てくるのだろうと、お隣のキュレーション・チームは、浮かない顔をしていました。