Cisco IOS XE のゼロデイ脆弱性を修正するアップデート出揃う

Cisco IOS XE にゼロデイ脆弱性が明らかとなった問題

Cisco Systems は提供予定としていたアップデートをすべてリリースし、各系統に向けたアップデートが出揃ったと公開しました。Cisco IOS XE のウェブユーザーインタフェースに、CVE-2023-20198、CVE-2023-20273 が判明したもの。これらを組み合わせた攻撃が確認されており、数万台規模で被害が発生しているとの報告もあります。
同社では10月22日より順次アップデートを投入しており、これまでに「同17.9.4a」「同17.6.6a」をリリースしているが、提供予定時期を未定としていた「同17.3.8a」「同16.12.10a」についても現地時間10月30日から31日にかけて提供を開始しています。ただし、「同16.12.10a」が提供されるのは「Cisco Catalyst 3650」「同3850」のみとなるため注意が必要。またソフトウェアメインテナンスアップグレード（SMU）の提供対象は、現地時間11月1日の時点で「同17.9」「同17.6」の2系統のみとなっています。

攻撃者はまず、 CVE-2023-20198 を悪用して初期アクセスを取得し、特権 15 コマンドを発行してローカル ユーザーとパスワードの組み合わせを作成。これにより、ユーザーは通常のユーザー アクセスでログインできるようになり、次に攻撃者は Web UI 機能の別のコンポーネントを悪用し、新しいローカル ユーザーを利用して権限をrootに昇格させ、インプラントをファイル システムに書き込みました。
シスコはこの問題に CVE-2023-20273 を割り当てました。

• CVE-2023-20198 には10.0 の CVSS スコアが割り当てられています。
• CVE-2023-20273 には7.2 の CVSS スコアが割り当てられています。

これらの CVE は両方ともCSCwh87343によって追跡されています。

シスコは、これらの脆弱性が以下のシスコ製品に影響を与えないことを確認しています。