脆弱性

[2023-10-25 更新] 脅威に関する情報: Cisco IOS XE における Web UI の特権昇格の脆弱性 (CVE-2023-20198)

2 min read

概要

2023 年 10 月 16 日に Cisco は Cisco IOS XE デバイスに影響を与え、すでに活発な悪用が見られているゼロデイの特権昇格の脆弱性を詳細に説明するセキュリティアドバイザリーを公開しました。NVD (National Vulnerability Database) によると、この脆弱性 (CVE-2023-20198) の深刻度のスコアは 10 で、これが悪用されると攻撃者は可能な限り最高の特権を持つアカウントを作成できるようになります。

弊社 Cortex Xpanse による攻撃対象領域テレメトリーからは、2023 年 10 月 18 日時点で 22,074 台の IOS XE デバイスにインプラントが行われているようすが、弊社アナリストにより観測されています。2023 年 10 月 19 日時点のテレメトリーでは、影響を受けたデバイス数は 18,359 台であることが示されています。インプラントには永続性がないため、この数は今後も減少していくものと予想されます。(注: 「インプラント」はバックドアやマルウェアなどを指す用語です。)

Cisco はインターネットに接続されたすべてのシステムないし信頼できないネットワーク上にある HTTP サーバー機能を無効にするよう勧告しています。

パロアルトネットワークスのお客様は、次の方法で Cisco IOS XE Web UI の特権昇格の脆弱性からの保護と緩和を受けられます。

Advanced Threat Prevention セキュリティサブスクリプションを有効にした次世代ファイアウォールでは、以下の Threat Prevention シグネチャーによるベストプラクティスに従ってください。
- 86807、94454
Unit 42 インシデントレスポンスチームは、本稿で取り上げた脅威をはじめ、さまざまな脅威への個別対応を提供しています。
Cortex Xpanse には、インターネット上に直接公開されている Cisco IOS XE デバイスを特定し、発見結果をセキュリティ担当者にエスカレーションする機能があります。またこの発見結果は、攻撃対象領域管理 (ASM) モジュールをご購入いただいている Cortex XSIAM のお客様もご利用になれます。

パロアルトネットワークスでは、以下に述べる全 IOS XE デバイスに関するCisco のガイドラインに従うことも推奨します。

本稿で扱う脆弱性	CVE-2023-20198

脆弱性の詳細

Cisco は、2023 年 10 月 16 日にある特権昇格のゼロデイ脆弱性を開示しました。この脆弱性は Cisco IOS XE の Web ユーザーインターフェイスに影響するものです。Web ユーザーインターフェイス機能が有効になっている場合、攻撃者は最高の特権 (レベル 15、完全な管理アクセス) を持つ新しいアカウントを作成できます。

Lua プログラミング言語ベースの非永続的なインプラントが、この脆弱性とともに使われているようすが観測されています。Cisco Threat Intelligence によると、インプラントをアクティブにするには Web サーバーを再起動する必要があります。

現在の攻撃スコープ

2023 年 10 月 18 日に弊社アナリストは、Cortex Xpanse の攻撃対象領域テレメトリーから、Lua 言語のインプラントを含む、少なくとも 22,074 個のホストを観測しましました。2023 年 10 月 19 日時点のテレメトリーでは、影響を受けたデバイス数は 18,359 台へ減少したことが示されています。インプラントには永続性がないため、この数は今後も減少していくものと予想されます。以下の図 1 は、影響を受けたセクター (業種) のトップ 10 と、重複なしの IP アドレスをベースとするグローバルでの潜在的影響を示すヒートマップです。

画像 1 は、Cortex Xpanse のヒートマップのスクリーンショットです。Cisco IOS XE に関する Cortex Xpanse の世界全体での観測内容です。この図には IP レジストラントのリストが記載されています。右端の 2 つの列は影響を受ける国と都市を示しています。国名のトップ 3 は米国、インド、フィリピンです。影響を受けた都市のトップ 3 はサンティアゴ、ムンバイ、サンイシドロです。 — 図 1: CVE-2023-20198 による世界的影響を示したヒートマップ

中間ガイダンス

Cisco は当該脆弱性に対する主要回避策として、インターネットに接続されたすべてのシステム、ないし信頼できないネットワーク上にある HTTP サーバー機能を無効にするよう勧告しています。Cisco の脅威インテリジェンスチームは、この脆弱性に関する確認および推奨事項を提供しています。

結論

パロアルトネットワークスは、公けに入手可能な情報の量と弊社独自の分析に基づき、Cisco の勧告内容にただちに従うことを推奨します。影響を受ける可能性のあるすべての組織に対し、バックドアインプラントのインストールや新しいユーザーアカウントの作成の兆候がないか、システムを確認することも推奨します。

パロアルトネットワークスとUnit 42 は、新たな情報、PoC (概念実証) コードの公開、さらなるエクスプロイトの痕跡について引き続き状況を監視していきます。

パロアルトネットワークスは、ファイルサンプルや IoC (侵害指標) をふくむ調査結果を Cyber Threat Alliance (CTA: サイバー脅威アライアンス) のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使って、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害できます。詳細は Cyber Threat Alliance にてご確認ください｡

パロアルトネットワークスのお客様は、以下に示す当社製品による保護を受けられます。より詳細な情報が利用可能になりしだい、本稿は更新されます。

Cisco IOS XE の特権昇格の脆弱性に対するパロアルトネットワーク製品の保護

パロアルトネットワークスのお客様には、弊社製品/サービスの保護・更新を通じて同脅威の特定・防御が提供されています。

侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、こちらのフォームからご連絡いただくか、infojapan@paloaltonetworks.comまでメールにてご連絡いただくか、下記の電話番号までお問い合わせください(ご相談は弊社製品のお客様には限定されません)。

北米フリーダイヤル：866.486.4842 (866.4.UNIT42)
EMEA: +31.20.299.3130
APAC: +65.6983.8730
日本: (+81) 50-1790-0200

Advanced Threat Prevention を有効にした次世代ファイアウォール

次世代ファイアウォールで Advanced Threat Prevention のセキュリティサブスクリプションを有効にしている場合、Threat Prevention のシグネチャーの 86807 と 94454 を通じたベストプラクティスが同脆弱性に関連する攻撃やインプラントによる C2 トラフィックの防止に役立ちます。

Prisma Cloud

Cisco IOS XE ソフトウェアは、Cisco Catalyst 8000V シリーズ経由でクラウドリソースに導入できます。Catalyst 8000V の最新バージョン (v17.9.4a) は CVE-2023-20198 に対応済みです。Prisma Cloud は、同仮想ファイアウォールをお使いのすべてのユーザーに、ただちにアップグレードすることを推奨します。

Prisma Cloud は、クラウドリソース内の脆弱性や構成ミスを検出する機能を備えた SaaS セキュリティソリューションです。最新バージョンの Catalyst 8000V にアップグレードできない事情がある場合、Prisma Cloud をクラウドインスタンスのクラウドサービスアクセス監視に使うことで、安全に運用できるようになります。そのさいは少なくとも Prisma Cloud の Anomaly、Config、Network ポリシーを有効にして、不審なオペレーションを組織に警告するようにしてください。

Cortex Xpanse と XSIAM

Cortex Xpanse には、インターネット上に直接公開されている Cisco IOS XE デバイスを特定し、発見結果をセキュリティ担当者にエスカレーションする機能があります。同製品をご利用のお客様は、「Cortex IOS XE」という Attack Surface Rule (攻撃対象領域ルール) が有効になっていることをご確認ください。これにより、本リスクに関するアラートを有効化できます。特定結果は、Threat Response Center または Expander のインシデントビューで確認できます。またこの発見結果は、攻撃対象領域管理 (ASM) モジュールをご購入いただいている Cortex XSIAM のお客様もご利用になれます。

2023-10-20 09:50 JST 英語版更新日 2023-10-19 12:25 PDT の内容を反映し、図 1 のヒートマップ、影響を受けたデバイス台数、テレメトリーのソースを追記して更新

2023-10-25 09:30 JST 英語版更新日 2023-10-24 08:58 PDT の内容を反映し、Cortex Xpanse による保護情報を追記

2023-10-25 09:30 JST 英語版更新日 2023-10-24 13:38 PDT の内容を反映し、Prisma Cloud による保護情報を追記