Cisco Adaptive Security Appliance (ASA) のクロスサイトスクリプティングの脆弱性（CVE-2014-2120）

何が起きた

Cisco Adaptive Security Appliance (ASA) Software の WebVPN のログイン画面に、クロスサイトスクリプティング（XSS）と呼ばれる弱点が見つかりました。攻撃者は、詳細が公表されていない入力項目を使って、任意の（攻撃者が好きに選べる）スクリプトや HTML を埋め込めるとされています。ネットワーク経由で、ログインしていない攻撃者が悪用できますが、利用者が細工されたリンクを開くなどの操作が必要です。実際に悪用されたことも確認されており、Cisco も 2024年11月に、さらなる悪用の試みを把握したと説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco ASA で WebVPN（ブラウザから使う VPN の入り口）を使っている組織と、その利用者が対象です。この不具合の番号は Bug ID CSCun19025 です。影響を受けるバージョンは、このデータと Cisco の勧告からは分かりません。

何をすればいい

Cisco は、この弱点に回避策はないとし、修正されたソフトウェアへの更新を強く勧めています。修正版を手に入れるには、ふだんの Cisco のサポート窓口に連絡するよう案内しています。Bug ID CSCun19025 が修正されたソフトウェアに更新されているか確かめてください。利用者は、知らない相手から届いた VPN のログイン画面へのリンクを開かないようにしてください。

やることチェックリスト

• ASA で WebVPN を使っているか確認する
• サポート窓口で CSCun19025 の修正版を入手する
• 知らない相手からのリンクを開かない

用語メモ

クロスサイトスクリプティング（XSS）

ウェブページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かす攻撃です。

WebVPN

専用ソフトを入れずに、ブラウザから社内ネットワークに入るための VPN の仕組みです。