Cisco の Desk／IP／Video 電話の脆弱性 CVE-2025-20350／20351 が FIX：リモート DoS と XSS の可能性

Cisco Desk, IP, and Video Phones Vulnerable to Remote DoS and XSS Attacks

2025/10/17 gbhackers — Cisco のデスク電話／IP 電話／ビデオ電話に存在する、Session Initiation Protocol (SIP) ソフトウェアの脆弱性を悪用するリモートの脅威アクターが、サービス拒否 (DoS)／クロスサイト・スクリプティング (XSS) 攻撃を仕掛ける危険性が生じている。これらの脆弱性 CVE-2025-20350／20351 が影響を及ぼす範囲は、 Cisco Unified Communications Manager への登録と Web アクセスが有効化されている固定電話 9800 シリーズおよび、 IP 電話 7800／8800 シリーズ、ビデオ電話 8875 モデルである。回避策が存在しないため、修正リリースへのアップデートが不可欠となっている。

2025年10月15日に Cisco が公表した、アドバイザリ ID cisco-sa-phone-dos-FPyjLV7A において２つの脆弱性が解説されている。

１つ目の脆弱性 CVE-2025-20350 を悪用する未認証の攻撃者は、細工した HTTP パケットの送信によりバッファ・オーバーフローを引き起こし、デバイスのリロードを誘発し、DoS 状態を引き起こす可能性を手にする。

２つ目の脆弱性 CVE-2025-20351 を悪用する攻撃者は、サニタイズされていないユーザー入力を介して悪意のスクリプトを挿入し、デバイスの Web インターフェイスに対する XSS 攻撃を引き起こす可能性がある。

どちらの脆弱性も、悪用の前提として Web アクセスが必要となるが、この機能はデフォルトで無効化されている。

一時的な回避策は存在しないため、影響を受けるデバイスの SIP ソフトウェアを、修正済みバージョンへとアップグレードする必要がある。

Web アクセスを無効化するとリスクは軽減されるが、デバイス管理機能が妨げられる可能性がある。したがって管理者の選択肢は、 Communications Manager からの Web アクセス設定の切り替え、もしくは、大規模な変更のための一括管理ツールの使用となる。

Cisco のアドバイザリで提供されるのは、バグ ID やソフトウェア・リリース・ガイダンスと、脆弱性に関する詳細情報である。以下の表に２つの脆弱性と主要メトリクスを整理した。

CVE IDVulnerability TypeCVSS Base ScoreSecurity Impact
CVE-2025-20350Remote DoS (Buffer Overflow)7.5High
CVE-2025-20351Cross-Site Scripting (XSS)6.1Medium

なお、マルチ・プラットフォーム・ファームウェアを実行するデバイスは、これらの脆弱性の影響を受けないことを、Cisco は確認している。

修正されたソフトウェア・リリースのロードマップは、明確に文書化されている。以下のバージョンへのアップデートが必要となっている：

  • デスク電話 9800 シリーズ：SIP ソフトウェア 3.3(1) 以降
  • IP 電話 7800／8800 シリーズ：SIP 14.3(1) SR2 以降
  • ビデオ電話 8875：SIP 3.3(1) 以降

これらの電話機を日常的なコミュニケーションに利用している組織にとって、この脆弱性の影響は甚大になり得る。

DoS 攻撃が成功すると、多数のデバイスがオフラインになり、音声サービスが中断される可能性がある。 XSS 攻撃が生じると、機密セッション・データの公開や、任意のスクリプト実行による管理セッションの侵害にいたる可能性がある。

これらの脆弱性は、リモートから容易に悪用できるため、アップデートを遅らせるとリスクが増大する。

管理にとって必要なことは、すべての登録済み電話機における Web アクセス状態を確認することだ。確認の方法は、電話機の設定メニューから IP アドレスを見つけ出し、そのアドレスにアクセスしてデバイス情報ページの状態を確認することである。もし表示されるなら、そのデバイスの Web アクセスは有効化されている。

この確認を行った後に、メンテナンス期間中でのアップデートを計画し、中断を最小限に抑えることが望ましい。多数のデバイスを抱える環境では、一括管理ツールを利用することで、効率的なアップデート・パスが提供される。これらのアップデートを優先することで、組織の通信インフラは、この深刻な脆弱性から保護される。

Cisco のセキュリティ・アドバイザリを継続的に監視し、パッチを迅速に適用することが、新たな脅威に対する最善の防御策となる。

Cisco 電話機の SIP 実装に存在する、バッファ・オーバーフローと出力サニタイズの欠如により、DoS／XSS 攻撃の可能性が生じています。どちらの脆弱性も、Web アクセスが有効化されている環境で悪用されやすいようです。回避策が存在しないため、修正済みソフトへの更新が不可欠だと、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Cisco Phone で検索も、ご参照ください。