• ひとことでCisco IOS 12.4の管理画面で、利用者をだまして勝手にコマンドを実行させられる弱点です。
  • 深刻度8.1 重要CVSS v3.1
  • まずやること使っている IOS の版を確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2008-4128
製品Cisco IOS
深刻度（CVSS）8.1 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
KEVへの追加日2026-07-13
米国政府機関の対応期限2026-07-16
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-352（クロスサイトリクエストフォージェリ（CSRF））

何が起きた

NVD の説明では、Cisco のルーターの OS である IOS 12.4 の HTTP の管理機能に、利用者の知らないうちに操作をさせる弱点（クロスサイトリクエストフォージェリ、CSRF）がいくつか見つかり、実際に悪用が確認されています。管理者が細工されたページを開くなどすると、/level/15/exec/- などのアドレスを通じて、任意のコマンドを実行されるおそれがあります。悪用には、被害者の操作（ページを開くなど）が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 管理者が細工されたページを開く → 2. 管理画面に勝手に要求が送られる → 3. ルーターでコマンドを実行される1管理者が細工されたページを開く2管理画面に勝手に要求が送られる3ルーターでコマンドを実行される攻撃の流れ: 1. 管理者が細工されたページを開く → 2. 管理画面に勝手に要求が送られる → 3. ルーターでコマンドを実行される1管理者が細工されたページを開く2管理画面に勝手に要求が送られる3ルーターでコマンドを実行される攻撃の流れ: 1. 管理者が細工されたページを開く → 2. 管理画面に勝手に要求が送られる → 3. ルーターでコマンドを実行される1管理者が細工されたページを開く2管理画面に勝手に要求が送られる3ルーターでコマンドを実行される

誰が影響を受ける

Cisco IOS 12.4 の HTTP の管理機能を使っている機器（871 Integrated Services Router など）が影響を受けます。

何をすればいい

Cisco によると、Cisco IOS ソフトウェア 12.4 Mainline はすでにサポートが終わっており（サポート終了日は 2016-01-31）、今は保守されていません。CISA は、メーカーの案内に従って対策をし、対策がなければ製品を使うのをやめるよう求めています。サポートが続いている IOS や機器に移ってください。また CISA は、この脆弱性について侵害の痕跡がないか調べるよう求めています。

やることチェックリスト

  • 使っている IOS の版を確かめる
  • 12.4 ならサポート中の IOS や機器に移る
  • CISA の求めに沿って侵害の痕跡を調べる

用語メモ

IOS
Cisco のルーターやスイッチを動かしている OS です。
CSRF
ログイン中の利用者に細工したページを開かせ、本人の知らないうちに操作をさせる攻撃のことです。

次に読む

同じ製品・メーカーの脆弱性Cisco IOS（CVE-2004-1464）5.9 警告CVSS v3.1Cisco IOS で、細工した接続により遠隔管理ができなくなる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Cisco IOS Cross-Site Request Forgery Vulnerability

概要

Cisco IOS 12.4 contains multiple cross-site forgery vulnerabilities that allows remote attackers to execute arbitrary commands via (1) a certain "show privilege" command to the /level/15/exec/- URI, and (2) a certain "alias exec" command to the /level/15/exec/-/configure/http URI.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る