Cisco Adaptive Security Appliance (ASA) and Firepower Threat Defense (FTD) のパストラバーサルの脆弱性（CVE-2020-3452）

何が起きた

Cisco Adaptive Security Appliance (ASA) Software と Firepower Threat Defense (FTD) Software の Web サービスの部分で、HTTP の要求に含まれる URL を正しく確かめていない弱点が見つかりました。ディレクトリトラバーサルの文字を含む細工した要求を送られると、機器の Web サービス用のファイルの中から、攻撃者が選んだファイルを読み取られるおそれがあります。NVD の評価では、ログインしていない攻撃者が、ネットワーク経由で離れた場所から悪用できます。Cisco は、攻撃コードが公開され、実際に悪用されていることを把握しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

WebVPN または AnyConnect の機能（AnyConnect の SSL VPN、IKEv2 のリモートアクセス、クライアントレス SSL VPN）を設定した ASA と FTD が対象です。Cisco によると、この弱点で ASA や FTD のシステムファイルや OS のファイル、VPN 利用者のログイン情報は読み取れませんが、例として、ほかの VPN 利用者になりすまして VPN に接続できるおそれがあります。ASA の修正版は 9.6.4.42、9.8.4.20、9.9.2.74、9.10.1.42、9.12.3.12、9.13.1.10、9.14.1.10 で、FTD は 6.2.3.16 や 6.6.0.1 などです。

何をすればいい

回避策はないため、Cisco は修正版へできるだけ早く更新するよう勧めています。ASA は使っている系列の修正版に更新し、保守が終わった 9.5 以前と 9.7 は、修正を含むサポート中の版へ移ってください。FTD は 6.2.3 系なら 6.2.3.16、6.6.0 系なら 6.6.0.1 などに更新し、ほかの系列は公式の案内（Cisco のセキュリティ勧告）でホットフィックスや移行先を確認してください。

やることチェックリスト

• ASA を系列の修正版（例 9.14.1.10）に更新する
• FTD を修正版（例 6.6.0.1）に更新する
• 保守終了の ASA 9.5 以前と 9.7 は移行する

用語メモ

ディレクトリトラバーサル

ファイルの場所を指す文字を細工して、本来は見られない場所のファイルにたどり着く攻撃です。

AnyConnect

Cisco の VPN 接続ソフトとその仕組みの名前です。

VPN

インターネット越しに、社内などのネットワークへ安全に接続するための仕組みです。

ホットフィックス

特定の問題を急いで直すために出される小さな修正です。