Cisco Adaptive Security Appliance (ASA) and Firepower Threat Defense (FTD) のクロスサイトスクリプティングの脆弱性（CVE-2020-3580）

何が起きた

Cisco Adaptive Security Appliance（ASA）と Firepower Threat Defense（FTD）のウェブサービスの画面で、入力のチェックが足りないため、クロスサイトスクリプティング（XSS）ができてしまう弱点が見つかりました。攻撃者が画面の利用者に細工したリンクをクリックさせると、不正なスクリプトを動かしたり、ブラウザの中の大事な情報を読み取ったりできるおそれがあります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できますが、利用者のクリックが必要です。CISA と Cisco は実際に悪用されたことを確認しています。CISA によると、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

AnyConnect や WebVPN（Clientless SSL VPN など）の設定を有効にした Cisco ASA と FTD を使っている組織が対象です。Cisco によると、ASA は 9.8.4.34、9.9.2.85、9.12.4.13、9.13.1.21、9.14.2.8、9.15.1.15 より前の版、FTD は 6.4.0.12、6.6.4、6.7.0.2 より前の版などが影響を受けます。ASA の 9.7 以前と 9.10 は保守が終わっており、修正版のある版への移行が必要です。

何をすればいい

Cisco のセキュリティ情報に従い、ASA や FTD を修正版に更新してください。修正版のない版を使っている場合は、修正の入った版へ移してください。回避策はありません。メーカーの公式の案内も確認してください。

やることチェックリスト

• AnyConnect や WebVPN の設定があるか確かめる
• ASA と FTD を修正版に更新する
• 保守が終わった版は修正の入った版へ移す

用語メモ

クロスサイトスクリプティング（XSS）

ウェブページに不正なスクリプトをまぎれこませ、見た人のブラウザで動かす攻撃です。

WebVPN

ブラウザを使って、外から社内のネットワークに安全につなぐための機能です。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する悪質なプログラムです。