• ひとことでCisco ASA の WebVPN ログイン画面に、不正なスクリプトを入れられる弱点です。
  • 深刻度6.1 警告CVSS v3.1
  • まずやることASA で WebVPN を使っているか確認する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2014-2120
製品Cisco Adaptive Security Appliance (ASA)
深刻度（CVSS）6.1 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
KEVへの追加日2024-11-12
米国政府機関の対応期限2024-12-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-79（クロスサイトスクリプティング）

何が起きた

Cisco Adaptive Security Appliance (ASA) Software の WebVPN のログイン画面に、クロスサイトスクリプティング（XSS）と呼ばれる弱点が見つかりました。攻撃者は、詳細が公表されていない入力項目を使って、任意の（攻撃者が好きに選べる）スクリプトや HTML を埋め込めるとされています。ネットワーク経由で、ログインしていない攻撃者が悪用できますが、利用者が細工されたリンクを開くなどの操作が必要です。実際に悪用されたことも確認されており、Cisco も 2024年11月に、さらなる悪用の試みを把握したと説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したリンクを用意する → 2. 利用者がそのリンクを開く → 3. ログイン画面に不正なスクリプトが入り込む → 4. 利用者のブラウザでスクリプトが動く1攻撃者が細工したリンクを用意する2利用者がそのリンクを開く3ログイン画面に不正なスクリプトが入り込む4利用者のブラウザでスクリプトが動く攻撃の流れ: 1. 攻撃者が細工したリンクを用意する → 2. 利用者がそのリンクを開く → 3. ログイン画面に不正なスクリプトが入り込む → 4. 利用者のブラウザでスクリプトが動く1攻撃者が細工したリンクを用意する2利用者がそのリンクを開く3ログイン画面に不正なスクリプトが入り込む4利用者のブラウザでスクリプトが動く攻撃の流れ: 1. 攻撃者が細工したリンクを用意する → 2. 利用者がそのリンクを開く → 3. ログイン画面に不正なスクリプトが入り込む → 4. 利用者のブラウザでスクリプトが動く1攻撃者が細工したリンクを用意する2利用者がそのリンクを開く3ログイン画面に不正なスクリプトが入り込む4利用者のブラウザでスクリプトが動く

誰が影響を受ける

Cisco ASA で WebVPN（ブラウザから使う VPN の入り口）を使っている組織と、その利用者が対象です。この不具合の番号は Bug ID CSCun19025 です。影響を受けるバージョンは、このデータと Cisco の勧告からは分かりません。

何をすればいい

Cisco は、この弱点に回避策はないとし、修正されたソフトウェアへの更新を強く勧めています。修正版を手に入れるには、ふだんの Cisco のサポート窓口に連絡するよう案内しています。Bug ID CSCun19025 が修正されたソフトウェアに更新されているか確かめてください。利用者は、知らない相手から届いた VPN のログイン画面へのリンクを開かないようにしてください。

やることチェックリスト

  • ASA で WebVPN を使っているか確認する
  • サポート窓口で CSCun19025 の修正版を入手する
  • 知らない相手からのリンクを開かない

用語メモ

クロスサイトスクリプティング（XSS） 用語集で見る
ウェブページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かす攻撃です。
WebVPN
専用ソフトを入れずに、ブラウザから社内ネットワークに入るための VPN の仕組みです。

次に読む

同じ製品・メーカーの脆弱性Cisco Adaptive Security Appliance (ASA)（CVE-2016-6367）7.8 重要CVSS v3.1Cisco ASA のコマンド入力で、機器の停止やコード実行を許す弱点同じ製品・メーカーの脆弱性Cisco Adaptive Security Appliance (ASA)（CVE-2016-6366）8.8 重要CVSS v3.1Cisco ASA の SNMP 処理で、機器を乗っ取られるおそれがある弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Cisco Adaptive Security Appliance (ASA) Cross-Site Scripting (XSS) Vulnerability

概要

Cisco Adaptive Security Appliance (ASA) contains a cross-site scripting (XSS) vulnerability in the WebVPN login page. This vulnerability allows remote attackers to inject arbitrary web script or HTML via an unspecified parameter.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る