CISA KEV 23/10/19：Cisco IOS Xe の脆弱性 CVE-2021-1435 も大規模侵害の要因？

CISA Adds Cisco IOS Xe Flaw To Its Known Exploited Vulnerabilities Catalog

2023/10/20 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が、Cisco IOS XE に存在する脆弱性 CVE-2021-1435 を、KEV リストに追加した。この脆弱性は、Web UI に存在するコマンド・インジェクションの欠陥であり、リモートの認証された攻撃者が root ユーザーとして、実行可能なコマンドを注入できるというものである。Cisco Talos の研究者たちは、この脆弱性が積極的に悪用され、デバイスへの感染が進むことを警告している。

Cisco Talos が発表したレポートには、「これまでの検出結果の分析により、Cisco が2021年にパッチを提供した脆弱性 CVE-2021-1435 が悪用され、デバイスへの不正アクセスの後に、インプラントがインストールされていることが確認された。また、脆弱性 CVE-2021-1435 に対して完全なパッチ適用が行われたデバイスでも、未確定のメカニズムが機能することで、インプラントのインストールが成功していることも確認している」と記されている。

BOD (Binding Operational Directive) 22-01 には、既知の脆弱性を悪用する攻撃からネットワークを守るために、FCEB 機関は指定された期日までに、対象となる脆弱性に対処する必要がある。CISA は連邦政府機関に対して、2023年11月9日まで今回の脆弱性を修正するよう命じている。

専門家たちが推奨するのは、民間組織においてもカタログを見直し、そのインフラの脆弱性に対処することである。

先日には、Cisco IOS XE に存在する、脆弱性 CVE-2023-20198 も話題になっている。

今週に Cisco は、IOS XE ソフトウェアに存在するゼロデイ脆弱性 CVE-2023-20198 (CVSS：10) が、攻撃で積極的に悪用されていることを顧客に警告した。同社は、Technical Assistance Center (TAC) における、複数のサポートを解決する中で、この脆弱性を発見したという。

この深刻なゼロデイ脆弱性 CVE-2023-20198 を悪用する脅威アクターたちが、数千台の Cisco IOS XE デバイスを狙っていると、セキュリティ企業 VulnCheck が警告している。この脆弱性の悪用に成功した攻撃者が、管理者権限を取得し、脆弱なルーターを乗っ取る可能性がある。

Cisco のアドバイザリによると、この脆弱性を悪用するリモートの未認証の攻撃者は、影響を受けるシステム上で特権レベル 15 のアクセス権を持つ、任意のアカウントを作成できるという。

また、LeakIX の研究者たちは、Cisco Talos が公開した IOC (indicator of compromise) を使用して、脆弱性 CVE-2023-20198 を悪用する攻撃者が、約 30,000台の Cisco IOS XEデバイス (Router／Switch／VPN) を感染させていることを発見した。それらの感染したデバイスの大半は、米国／フィリピン／チリ／メキシコにあるという。

10月19日 (木) に、Cisco デバイスの約 40,000 台がハッキングされているというインシデントが起こりました。その時には、脆弱性 CVE-2023-20198 が悪用され、今日の CVE-2021-1435 の関連も疑われていました。それと同時に、CVE-2021-1435 という古い脆弱性が CISA KEV に登録されました。ただし、このインシデントで悪用された脆弱性については、また、不確定なところが残っているようです。よろしければ、Cisco で検索も、ご利用ください。