Cisco IOS XR／NSO／Optical Site Manager などの脆弱性が FIX：直ちにアップデートを！

Cisco Issues Security Advisories: Critical Vulnerabilities Impact Multiple Products

2024/09/11 SecurityOnline — 9月11日に Cisco が発表したセキュリティ・アドバイザリは、IOS XR／Crosswork Network Services Orchestrator (NSO)／Optical Site Manager／RV340 Dual WAN Gigabit VPN ルーターなどに影響を及ぼす、９件の脆弱性に関するものである。これらの脆弱性の深刻度には幅があるが、その中には、未認証の攻撃者によるサービス拒否 (DoS) 攻撃や、任意のリモート・コード実行を許すものもある。

主な脆弱性とその影響
  • CVE-2024-20304 (CVSS 8.6)：Cisco IOS XR ソフトウェアのマルチキャスト・トレースルート機能に存在する脆弱性により、認証されていないリモートの攻撃者による、UDP パケットのメモリの枯渇が達成され、DoS 状態に陥る可能性が生じる。
  • CVE-2024-20381 (CVSS 8.8)：複数の Cisco 製品で使用されている、Web ベースの管理インターフェース JSON-RPC API に存在する脆弱性。この脆弱性の悪用に成功した、認証済みのリモート攻撃者は、コンフィグの変更／新たなアカウントの作成／特権の昇格などを達成する可能性を得る。
  • CVE-2024-20398 (CVSS 8.8)：Cisco IOS XR Software の CLI に存在する脆弱性。認証済みのローカル攻撃者が、基盤となる OS へのルート・アクセスを獲得する可能性が生じる。
  • CVE-2024-20483 (CVSS 7.2)／CVE-2024-20489 (CVSS 8.4)：Cisco Routed PON Controller の脆弱性の悪用に成功した、特権を持つ認証済みの攻撃者に対して、任意のコマンド実行や、機密性の高い認証情報の取得を許す可能性がある。
Cisco の対応および推奨事項

すでに Cisco は、先日にリリースされたソフトウェア・アップデートで、これらの脆弱性の大部分に対処し、また、残りの脆弱性の修正にも取り組んでいる。同社がユーザーに対して強く推奨するのは、これらのアップデートを可能な限り早急に適用し、一連の脆弱性に関連するリスクを軽減することだ。現時点では、報告済みの脆弱性に対して、回避策は提供されていない。

Cisco の脆弱性レポートは、第２水曜日に出てくることが多いようです。したがって、Microsoft と Adobe の Patch Tuesday で疲弊している、お隣のキュレーション・チームが、さらに Cisco にイジメられるという景色を何度か見ています。今回の Cisco も、CVSS 値の高いもので揃っていて、同日での対応が必要になるので、そんな感じですね。よろしければ、Cisco で検索も、ご利用ください。