Cisco AnyConnect Secure の脆弱性（CVE-2020-3433）

何が起きた

Cisco AnyConnect Secure Mobility Client for Windows のプロセス間通信（IPC）の部分で、実行中に読み込むファイルの確かめ方が不十分という弱点が見つかりました。攻撃者は細工した IPC メッセージを AnyConnect に送ることで DLL ハイジャックを起こし、SYSTEM 権限で任意のコード（攻撃者が好きに選べるプログラム）を実行できる可能性があります。攻撃には、その Windows にログインできる正しい資格情報が必要で、対象の機器上（ローカル）から一般利用者程度の権限で悪用できます。CISA の KEV に掲載されて実際の悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco AnyConnect Secure Mobility Client for Windows を使っている人・組織が対象です。Cisco の勧告によると、影響を受けるのは 4.9.00086 より前のリリースです。

何をすればいい

Cisco は 4.9.00086 以降のリリースでこの問題を直しています。使っている AnyConnect のバージョンを確認し、4.9.00086 以降に更新されているか確かめてください。Cisco によると、更新のほかに使える回避策はありません。あわせて Cisco の公式の案内（セキュリティ勧告）を確認してください。

やることチェックリスト

• AnyConnect のバージョンを確認する
• AnyConnect を 4.9.00086 以降に更新する
• すべての Windows 端末で更新が済んだか確認する

用語メモ

プロセス間通信

パソコンの中で動いている別々のプログラムどうしが、情報をやりとりするしくみです。

DLL ハイジャック

プログラムが読み込む部品ファイル（DLL）を、攻撃者が用意した偽物にすり替えて読み込ませる手口です。

SYSTEM 権限

Windows の中でいちばん強い権限の一つで、ほぼすべての操作ができます。