Cisco HyperFlex HX のコマンドインジェクションの脆弱性（CVE-2021-1497）

何が起きた

Cisco HyperFlex HX Installer Virtual Machine の Web の管理画面に、受け取った入力を十分に確かめない弱点が見つかりました。悪用されると、攻撃者が機器の上で root ユーザー（いちばん強い管理者）としてコマンドを実行できる可能性があります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。CISA は実際の悪用を確認しており、Cisco も 2021 年 11 月に悪用の試みをさらに把握したと公表しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco HyperFlex HX を使っている組織が対象です。Cisco の勧告によると、修正前の HyperFlex HX のソフトウェア（4.0 より前、4.0 系、4.5 系）が影響を受けます。

何をすればいい

Cisco の勧告によると、この弱点を避ける回避策はなく、修正版への更新が必要です。4.0 系は 4.0(2e)、4.5 系は 4.5(2a) 以降に、4.0 より前の版は 4.0(2e) へ移行してください。Cisco の公式の案内を確認し、自分の環境の版が修正済みか確認してください。

やることチェックリスト

• HyperFlex HX の版を確かめる
• 4.5 系は 4.5(2a) 以降に更新する
• 4.0 系以前は 4.0(2e) 以降に更新する

用語メモ

仮想マシン

1台のコンピューターの中に、ソフトウェアで作ったもう1台のコンピューターのことです。

root ユーザー

Linux などで、すべての操作ができるいちばん強い管理者のアカウントです。

回避策

更新をすぐにできないときに、設定の変更などで弱点を突かれにくくする一時的な方法です。