シスコシステムズの複数の製品に脆弱性、セキュリティアップデートがリリース

United States Computer Emergency Readiness Team (US-CERT)は7月30日(米国時間)、「Cisco Releases Security Updates for Multiple Products｜CISA」において、シスコシステムズの複数の製品に脆弱性が存在し、同社がセキュリティアップデートをリリースしたことを伝えた。対象の脆弱性を悪用されると、攻撃者によって機密情報にアクセスされたり、任意のコマンドを実行されたりするなどの被害を受ける危険性があるという。

シスコ製品の脆弱性に関する情報は、同社が提供している次のセキュリティアドバイザリのページで公表されている。

• Cisco Security Advisories

• Cisco Security Advisories

2020年7月29日から30日にかけて13件のセキュリティアドバイザリが報告されているが、このうち影響度が「重要（Critical）」のものと「高（High）」のものを以下に挙げる。

• （重要）CVE-2020-3375「Cisco SD-WAN Solution Software Buffer Overflow Vulnerability」
• （重要）CVE-2020-11896など「Multiple Vulnerabilities in Treck IP Stack Affecting Cisco Products: June 2020」
• （重要）CVE-2020-3374「Cisco SD-WAN vManage Software Authorization Bypass Vulnerability」
• （重要）CVE-2020-3382「Cisco Data Center Network Manager Authentication Bypass Vulnerability」
• （高）CVE-2020-3377「Cisco Data Center Network Manager Command Injection Vulnerability」
• （高）CVE-2020-3384「Cisco Data Center Network Manager Command Injection Vulnerability」
• （高）CVE-2020-3383「Cisco Data Center Network Manager Path Traversal Vulnerability」
• （高）CVE-2020-3386「Cisco Data Center Network Manager Improper Authorization Vulnerability」
• （高）CVE-2020-3376「Cisco Data Center Network Manager Authentication Bypass Vulnerability」

CVE-2020-3375はSD-WANソリューションにおける入力検証が不十分であることから引き起こされるバッファオーバーフローの脆弱性で、攻撃が成功すると、機密情報へのアクセスやシステムの変更、root権限でのコマンドの実行などが行われる危険性がある。

CVE-2020-11896からCVE-2020-11914までとして登録されている脆弱性は、Treck製のIPスタックに存在する複数の脆弱性に起因するもので、「Cisco ASR 5000」「Cisco ASR 5500」「Cisco Virtual Packet Core」が影響を受ける可能性があるという。この脆弱性を悪用されると、機密情報の漏洩やリモートコード実行、サービス拒否などが引き起こされる危険性がある。

CVE-2020-3374はSD-WAN vManageにおけるWebベースの管理インタフェースの脆弱性で、攻撃者によって認証が回避され、機密情報へのアクセスやシステム設定の変更が行われる危険性があるという。CVE-2020-3382はData Center Network Manager（DCNM）のREST APIの脆弱性で、攻撃者によって認証が回避され、管理者権限で任意のアクションが実行される危険性がある。

Cybersecurity and Infrastructure Security Agency (CISA)ではユーザーおよび管理者に対して、上記のセキュリティアドバイザリを確認し、必要なアップデートを適用することを推奨している。