Cisco Industrial アプライアンスの脆弱性 CVE-2023-20076：パッチは提供されたが・・・

Vulnerability in Cisco industrial appliances is a potential nightmare (CVE-2023-20076)

2023/02/01 HelpNetSecurity — Cisco が公開したパッチは、一部の産業用ルーター／ゲートウェイ／企業向け無線アクセスポイントに存在する、深刻度の高い脆弱性 CVE-2023-20076 に対するものである。この脆弱性の悪用に成功した攻撃者が、デバイスの再起動やファームウェアの更新では削除できない、悪質なコードを挿入する可能性がある。

Trellix の脆弱性研究者である Sam Quinn と Kasimir Schulz は、「このコマンド・インジェクションにより、システムに脆弱性が残らないようにするために、Cisco が導入している緩和策がバイパスされる。セキュリティ対策が回避されるということは、デバイス工場出荷時状態へのリセット、もしくは、手動での削除が行われるまで、この脆弱性を利用する攻撃者が注入する悪意のパッケージが実行し続けることになる」と述べている。

脆弱性を悪用する攻撃者は、前提として認証された管理者アクセスを得る必要があるが、フィッシング／デフォルト・ログイン認証／権限昇格バグへの攻撃は珍しいことではなく、脆弱性 CVE-2023-20076 悪用のための道は開かれる。

CVE-2023-20076について

研究者たちが脆弱性 CVE-2023-20076 を発見した場所は、Cisco ISR 4431ルーターであり、より具体的に言うと、管理者がアプリケーション・コンテナや仮想マシンを Cisco デバイス上に展開するための、Cisco IOx アプリケーション・ホスティング環境となる。

Cisco は、「この脆弱性は、アプリケーションを起動するために渡される、パラメータのサニタイズが不完全であることに起因している。攻撃者は、Cisco IOx アプリケーション・ホスティング環境において、細工されたアクティベーション・ペイロード・ファイルでアプリケーションを展開する、続いて、それらをアクティベートすることで、この脆弱性の悪用が可能となる。この脆弱性の悪用に成功した攻撃者は、基盤となるホスト OS 上で root 権限を用いて、任意のコマンドを実行できるようになる」と説明している。

この脆弱性は、以下の Cisco ソリューションにも影響が生じると確認されている。

  • 800 Series Industrial ISR (産業用ルーター)
  • IC3000 Industrial Compute Gateway (産業用リアルタイム・データの処理／分析／自動化)
  • IOx で構成された IOS XE ベースのデバイス (コンテナ化された環境内でサードパーティー製アプリケーションを実行するルーターなど)
  • Cisco Catalyst Access points (大量の接続デバイスを抱えるエンタープライズ環境向けの無線アクセスポイント)
  • IR510 WPAN Industrial Routers (スマートファクトリー／スマートグリッド向けの無線ルーター)
  • CGR1000 Compute Modules (エンタープライズ・クラウドサービス用)

現状において、回避策は存在しない。最後の２つのデバイスを除く、すべてのデバイスに対するパッチ／セキュリティアップデートが提供されているが、残りのデバイスに対しても、今月中にパッチが提供される予定だ。

Cisco は、「Cisco IOx アプリケーション・ホスティング環境を使用しない場合には、”no iox” 設定コマンドにより、デバイス上で IOx を永久に無効化できる。つまり、Cisco IOx 機能を有効化する場合にのみ、この脆弱性は存在することになる」と述べている。

脆弱性 CVE-2023-20076 は、攻撃者による悪意のコマンド実行を可能にするという、大きな問題を生み出している。しかし、それ以上に重要な問題は、システム内に脆弱性を残さないようにするために、Cisco が実装した緩和策がバイパスされることだと、研究者たちは指摘している。

彼らは、「企業ネットワークが複雑化する中、多くの企業はネットワーク設計やコンフィグレーションをサードパーティーに委託している。悪意の行為者は、脆弱性 CVE-2023-20076 を悪用し、サプライチェーンのどこかで、影響を受ける Cisco デバイスの１台だけを改ざんすればよい。この脆弱性 CVE-2023-20076 が提供するアクセスレベルは、バックドアのインストールとスティルス化が可能なため、完全な改ざんを透過させることも可能だ。したがって、エッジデバイスの管理者は、サプライチェーンを厳密に監視し、第三者のリセラー／パートナー／MSP が、透明なセキュリティ・プロトコルを使用しているかを確認すべきだ」とアドバイスしている。

厄介な脆弱性が登場したようです。文中でも、「それ以上に重要な問題は、システム内に脆弱性を残さないようにするために、Cisco が実装した緩和策がバイパスされることだ」と記されています。また、参照元である Trellix レポートのタイトルは、「When Pwning Cisco, Persistence is Key – When Pwning Supply Chain, Cisco is Key」となっています。よろしければ、Cisco で検索も、ご利用ください。