最近の脆弱性 › CVE-2023-20109
Cisco IOS and IOS XE の範囲外書き込みの脆弱性（CVE-2023-20109）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-20109 |
|---|---|
| 製品 | Cisco IOS and IOS XE |
| 深刻度（CVSS） | 6.6 警告CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2023-10-10 |
| 米国政府機関の対応期限 | 2023-10-31 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-787 |
何が起きた
Cisco IOS と IOS XE の GET VPN という機能に、決められた範囲の外にデータを書き込んでしまう（範囲外書き込み）弱点が見つかり、実際に悪用が確認されています。攻撃者はネットワーク経由で攻撃しますが、グループのメンバーか鍵サーバーのどちらかを管理者として操れる立場にある必要があります。悪用されると、任意の（攻撃者が選んだ）プログラムを実行されたり、機器が止まったりする可能性があります。Cisco は、この機能を狙った攻撃の試みを見つけ、調査の中でこの弱点を発見したと説明しています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
GET VPN の GDOI または G-IKEv2 という仕組みを有効にしている Cisco IOS と IOS XE の機器を使っている組織が対象です。影響を受ける具体的な版は多数あり、Cisco の公式の案内の修正版の欄で確認できます。
何をすればいい
Cisco は回避策はないとしており、修正されたソフトウェアへの更新を強く勧めています。まず、機器で GDOI または G-IKEv2 が有効になっているかを、show running-config コマンドで確認しましょう。Cisco の公式の案内（cisco-sa-getvpn-rce-g8qR68sx）と Cisco Software Checker で、自分の版に対応する修正版を確かめて更新してください。
やることチェックリスト
- GDOI や G-IKEv2 が有効か設定を確認する
- Cisco Software Checker で修正版を調べる
- IOS と IOS XE を修正版に更新する
用語メモ
- GET VPN
- Cisco の機器どうしで、グループ全体の通信をまとめて暗号化するための機能です。
- 鍵サーバー
- 暗号化に使う鍵を、グループのメンバーに配る役割のサーバーです。
- 範囲外書き込み
- プログラムが、決められたメモリーの範囲の外にデータを書いてしまう不具合です。
元データ（英語・CISA KEV より）
Cisco IOS and IOS XE Group Encrypted Transport VPN Out-of-Bounds Write Vulnerability
概要
Cisco IOS and IOS XE contain an out-of-bounds write vulnerability in the Group Encrypted Transport VPN (GET VPN) feature that could allow an authenticated, remote attacker who has administrative control of either a group member or a key server to execute malicious code or cause a device to crash.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.