Cisco AnyConnect VPN の脆弱性 CVE-2025-20271 がFIX：変数初期化エラーと DoS 攻撃

Cisco AnyConnect VPN Flaw Allows Attackers to Launch DoS Attacks

2025/06/19 gbhackers — Cisco Meraki MX／Z Series デバイス向けの、AnyConnect VPN 実装に存在する脆弱性により、エンタープライズ・ネットワークに深刻なリスクが生じているという。未認証の攻撃者が、サービス拒否 (DoS) 状態を引き起こし、リモート・アクセスの妨害を可能にするという。この脆弱性 CVE-2025-20271 (CVSS：8.6) は、Cisco Meraki ゲートウェイに依存して、安全なリモート接続を維持／管理している組織に、大きな影響を与えると示唆される。

CVE-2025-20271：技術詳細

この脆弱性は、クライアント証明書認証を使用してSSL VPNセッションを確立する際に発生する、変数初期化エラーに起因する。影響を受けるデバイスへ向けて、細工された HTTPS リクエストを送信する攻撃者により、この脆弱性が悪用される可能性があるという。

この脆弱性の悪用が成功すると、Cisco AnyConnect VPN サービスがクラッシュ／再起動し、すべてのアクティブな VPN ユーザーの接続が切断され、再認証が強制されることになる。

FieldDetails
CVE IDCVE-2025-20271
CVSS Score8.6 (High)
Affected ProductsCisco Meraki MX & Z Series (see full list in advisory)

この脆弱性が影響を及ぼす範囲は、Cisco Meraki MX／Z Series の、MX64／MX65／MX67／MX68／MX75／MX84／MX100／MX250／MX450／vMX／Z3／Z3C／Z4／Z4C などとなる。

影響を受けるデバイスの前提条件は、Cisco Meraki MX ファームウェアを実行し、クライアント証明書認証が有効化された、AnyConnect VPN を使用しているものとなる。

影響を受けるデバイスと脆弱性の確認方法

管理者は、以下の手順により、使用中のデバイスにおける影響を確認できる。

  • Cisco Meraki ダッシュボードにログインする。
  • MX デバイスの場合：Navigate to Security & SD-WAN > Configure > Client VPN へ移動する。
  • Z Series デバイスの場合：Teleworker Gateway > Configure > Client VPN へと移動する。
  • [AnyConnect Settings] タブで、Enabled が選択されている場合には、デバイスが脆弱化している可能性がある。
  • [Authentication & Policy] セクションで、Certificate Authentication が有効化されているデバイスは、影響を受ける。

現時点において、この脆弱性に対する回避策は存在しない。すでに Cisco は、この脆弱性を修正したソフトウェア・アップデートを、複数のファームウェア・ブランチへ向けてリリースしている。

管理者に対して強く推奨されるのは、以下の修正バージョン以降への、速やかなアップデートである。

  • 18.1.x: 18.107.13
  • 18.2.x: 18.211.6
  • 19.1: 19.1.8

なお、ファームウェア 16.2 以前を実行しているデバイスは影響を受けない。また、MX400／MX600 モデルはサポート終了を迎えているため、修正プログラムは提供されない。

Cisco の PSIRT は、「社内テスト中に、この脆弱性を発見したが、現在までに実際に悪用された形跡は存在しない」と述べている。

しかし、今日の分散型ワーク環境における VPN サービスの重要性と、この脆弱性の悪用が容易であることを考えると、迅速なパッチ適用が不可欠である。組織に対して推奨されるのは、以下の対策を講じることだ。

  • 提供されているファームウェア・アップデートの速やかな適用。
  • VPN 接続ログを監視し、異常なアクティビティを確認。
  • サポート対象外のモデルの、ハードウェア・アップグレードを計画。

このインシデントが浮き彫りにするのは、SSL VPN 実装に伴う継続的なリスクと、リモート・アクセス・インフラにおける、最新のセキュリティ対策の重要性である。

Cisco Meraki AnyConnect VPN の脆弱性 CVE-2025-20271 は、SSL VPN に依存する組織にとって、とても重大な問題になるようです。証明書ベースの認証という、牢な仕組みに潜んでいた初期化ミスが、DoS に繋がると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Cisco Meraki AnyConnect で検索も、ご参照ください。