Cisco IOS／IOS XE ソフトウェアに存在する複数の脆弱性が FIX：ただちにパッチを！

Cisco Addressed High-Severity Flaws In IOS and IOS XE Software

2024/02/28 SecurityAffairs — 今週に Cisco がリリースしたのは、複数の IOS／IOS XE ソフトウェアの脆弱性に対処するためのパッチである。それらの脆弱性を悪用する、未認証の攻撃者により、サービス拒否 (DoS) 状態が引き起こされる可能性がある。

以下は、Cisco が対処した、最も深刻な脆弱性に関するリストの一部である：

CVE-2024-20311 (CVSS：8.6)： Cisco IOS Software／IOS XE Software の、Locator ID Separation Protocol (LISP) 機能に存在する脆弱性である。この脆弱性を悪用する未認証のリモートの攻撃者により、デバイスのリロードが実行される可能性がある。

CVE-2024-20314 (CVSS：8.6)：Cisco IOS XE ソフトウェアの、IPv4 Software-Defined Access (SD-Access) ファブリック・エッジ・ノード機能に存在する脆弱性である。この脆弱性を悪用する未認証のリモートの攻撃者が、 CPU の使用率を高めることで、すべてのトラフィック処理が停止する可能性が生じる。その結果として、影響を受けるデバイス上で、サービス拒否 (DoS) 状態が発生する可能性がある。

CVE-2024-20307／CVE-2024-20308 (CVSS：8.6)：Cisco IOS／ IOS XE ソフトウェアにおける、インターネット鍵交換バージョン 1 (IKEv1) フラグメンテーション機能に存在する脆弱性である。未認証のリモートの攻撃者に悪用され、影響を受けるシステム上でヒープオーバーフローや破損が引き起こされる可能性がある。

CVE-2024-20259 (CVSS：8.6)：Cisco IOS XE ソフトウェアの、DHCP スヌーピング機能に存在する脆弱性である。この脆弱性を悪用する、未認証のリモートの攻撃者により、 影響を受けるデバイスで想定外のリロードが発生し、サービス拒否 (DoS) 状態に陥る可能性がある。

CVE-2024-20303 (CVSS：7.4)：無線 LAN コントローラ (WLC) 用の、IOS XE ソフトウェアのマルチキャスト DNS (mDNS) ゲートウェイ機能に存在する脆弱性である。隣接する環境にいる、未認証の攻撃者により、この脆弱性を悪用されると、サービス拒否 (DoS) 状態が引き起こされる可能性がある。

この他にも、Access Point Software／Catalyst Center／Aironet Access Point Software などに存在する、High／Medium レベルの脆弱性も対処されている。

Microsoft や Adobe の Patch Tuesday は有名ですが、Cisco の場合は Patch Wednesday です。しかも、月イチではないので、木曜の朝のキュレーション・チームは警戒態勢とのことです。そして、3月27日の Patch Wednesday は、High 10件、Medium 9件という、大規模なものでした。よろしければ、Cisco で検索も、ご参照ください。