Cisco Nexus Dashboard の脆弱性 CVE-2025-20163 が FIX：SSH ホスト・キーに対する不十分な検証

Critical Cisco Nexus Dashboard Vulnerability Lets Attackers Impersonate Managed Devices

2025/06/05 gbhackers — Cisco が発行したのは、Nexus Dashboard Fabric Controller (NDFC) に存在する、深刻な SSH ホスト・キー検証の脆弱性に対する、セキュリティ・アドバイザリ “ID: cisco-sa-ndfc-shkv-snQJtjrp” である。この脆弱性 CVE-2025-20163 (CVSS3.1：8.7) を悪用する、未認証のリモート攻撃者は、Cisco NDFC 管理対象デバイスへの成りすましを達成し、データセンター・インフラに重大なリスクをもたらす可能性を手にする。

この脆弱性は、SSH ホスト・キーに対する不十分な検証 (CWE-322：エンティティ認証なしの鍵交換) に起因する。

この脆弱性を悪用する攻撃者は、NDFC 管理対象デバイスへの SSH 接続に対して、中間マシン (MitM) 攻撃を実行できる。具体的に言うと、機密トラフィックを傍受し、ユーザーの認証情報を取得し、重要なネットワーク・リソースへの不正アクセスの可能性を手にする。

影響を受けるバージョンと技術的影響

この脆弱性が影響を及ぼす範囲は、Cisco NDFC リリース 12.2.3 未満 (Cisco Data Center Network Manager のレガシー・バージョンを含む) と、Cisco Nexus Dashboard 統合ソフトウェアの複数リリースとなる。

なお、この問題は、デバイスのコンフィグには依存しない。つまり、影響を受けるバージョンを使用する、すべての環境が危険にさらされる。

この技術的な弱点は、SSH 接続時にデバイスの信頼性を確保するために不可欠な、厳密な SSH ホストキー検証の不足に起因する。この検証が行われない場合において、不正な SSH キーを提示する攻撃者は、NDFC と管理対象デバイスとの間の、トラフィックを傍受／操作できる。

SSH ホスト・キー検証の失敗例 (コンテキスト用)：

bash@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
...
Host key verification failed.

この警告は、SSH ユーザーにとって既知のものであり、ホスト・キーの検証が適切に実施されていない場合のリスクを浮き彫りにするものだ。

影響を受けるリリースと修正されたリリース
Cisco Nexus Dashboard ReleaseStatusFirst Fixed Release
3.1AffectedMigrate to fixed
3.2Affected3.2(2f)
< 12.2.3 (NDFC)Affected12.2.3

NDFC リリース 12.2.3 以降では、業界のベスト・プラクティスと同様のレベルで、SSH ホスト・キーの検証が強制される。

現時点において、この機能は、下位互換性のためにデフォルトで無効化されているが、将来のリリースではデフォルトで有効化される予定である。

回避策なし、即時パッチ適用が必要

現時点において、この脆弱性に対する回避策は存在しない。

すでに Cisco は、無償のソフトウェアアップデートをリリースし、この問題を修正している。ユーザーに対して強く推奨されるのは、この修正版への速やかなアップグレードである。

この修正により、新しい SSH ホスト・キー検証機能が導入されるため、それを有効化する管理者により、中間者攻撃のリスクは軽減される。

推奨される対応策：

NDFC のバージョン 12.2.3 以降へのアップグレード、もしくは、Cisco Nexus Dashboard 3.2 (2f) 以降へと移行してほしい。管理対象デバイス全体で、SSH 設定を検証／更新する必要がある。

さらに、追加のセキュリティ対策として、ネットワーク・セグメンテーションを実施し、疑わしい SSH アクティビティを監視してほしい。

2025年6月5日の時点で、Cisco の PSIRT は、この脆弱性に関する悪用の事例や発表を認識していない。ただし、機密性と整合性への影響が大きいため、組織にとって必要なことは、修復を優先して実施し、重要インフラを保護することだ。

技術的な詳細については、Cisco の公式アドバイザリおよび製品ドキュメントを参照してほしい。

SSH のような基本的な仕組みであるからこそ、設定や実装に脆弱性があると大きなリスクにつながりますね。この問題は、デバイスのコンフィグには依存しないため、すべての環境が危険にさらされるとのことです。ご利用のチームは、ご注意ください。よろしければ、Cisco で検索も、ご参照ください。