Cisco IP Phone の脆弱性 CVE-2024-20376 などが FIX：ただちにアップデートを！

Cisco IP Phones Exposed: Vulnerabilities Allow Hackers to Disrupt, Spy, and Even Make Calls

2024/05/02 SecurityOnline — Cisco が発表したのは、いくつかの IP Phone モデルのファームウェアに存在する、複数の脆弱性に関する一連のセキュリティ・アドバイザリである。これらの脆弱性の悪用に成功した、認証されていないリモートの攻撃者は、サービス拒否 (DoS：denial of service) から不正アクセスや機密情報の漏洩に至るまでの、悪意のアクションを実行する可能性を持つ。広く使用されている Cisco IP 電話に影響を及ぼす、これらの脆弱性には、ビジネス・コミュニケーションのセキュリティに重大な脅威をもたらす可能性がある。

脆弱性の詳細

1. CVE-2024-20376 (CVSS 7.5) Cisco IP Phone のサービス運用妨害の脆弱性：Web ベースの管理インターフェイスに欠陥があり、攻撃者が送信する特別に細工したリクエストにより、影響を受けるデバイスがリロードされ、DoS 状態を引き起こす可能性がある。この脆弱性は、ユーザーが提供する入力の検証が不十分であることに起因しており、通信サービスの可用性にリスクをもたらす。
2. CVE-2024-20378 (CVSS：7.5) Cisco IP Phone の情報漏洩の脆弱性：この脆弱性の悪用に成功した攻撃者は、Web ベースの管理インターフェイスの認証されていないエンドポイントを介して、機密情報に不正アクセスすることが可能になる。そして、攻撃者により、ユーザー認証情報と VoIP 通話データが記録されることで、機密性と完全性が損なわれる可能性がある。
3. CVE-2024-20357 (CVSS：5.3) Cisco IP Phone の不正アクセスの脆弱性：この脆弱性は、ファームウェアの XML サービスに存在する。この脆弱性の悪用に成功したリモートの攻撃者は、影響を受けるデバイス上で、細工された XML リクエストの送信し、電話の開始や音声の再生などを可能にする。この XML サービスは、デフォルトで無効化されているため、この脆弱性の影響を受けないシステムもある。

影響を受けるバージョン

これらの脆弱性の影響を受ける Cisco IP Phone モデルは、以下の通りである：

• IP Phone 6800 Series with Multiplatform Firmware
• IP Phone 7800 Series with Multiplatform Firmware
• IP Phone 8800 Series with Multiplatform Firmware
• Video Phone 8875 in Multiplatform Mode

セキュリティ・アップデートと推奨事項

すでに Cisco は、これらの問題に対処したソフトウェア・アップデートをリリースしている。影響を受ける Multiplatform Firmware の最初の修正リリースは、6800／7800／8800 シリーズ用のバージョン 12.0.4SR1 である。Video Phone 8875 については、脆弱性を緩和するために、Cisco Phone OS 2.3.1.0101 以降にアップデートする必要がある。

これらの脆弱性に対処する回避策は存在しないため、影響を受けるバージョンの Cisco IP Phone を使用している場合には、必要なファームウェア・アップデートを速やかに適用することが不可欠となる。

現在のところ、これらの脆弱性に関する情報の公表や、攻撃での悪用は確認されていない。しかし、攻撃者たちにとって、魅力的な標的になる可能性がある。したがって、悪用から確実に身を守れるよう、積極的な脅威が確認されていなくても、システムをアップグレードすることが推奨される。

Cisco IP Phone に脆弱性です。ご利用のチームは、ご注意ください。前回の Cisco IP Phone の脆弱性は、2023/03/02 の「Cisco IP Phone Series における深刻な脆弱性 CVE-2023-20078 が FIX」となっています。よろしければ、Cisco で検索と併せて、ご参照ください。