CVEノート

最近の脆弱性 › CVE-2023-20198

Cisco IOS XE Web UI の権限昇格の脆弱性（CVE-2023-20198）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2023-20198
製品Cisco IOS XE Web UI
深刻度（CVSS）10.0 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
KEVへの追加日2023-10-16
米国政府機関の対応期限2023-10-20
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-420

何が起きた

Cisco IOS XE Software の Web 画面（web UI）に、ログインしていない攻撃者がネットワーク経由で、最上位の権限（privilege level 15）を持つアカウントを作れてしまう弱点が見つかりました。攻撃者はこのアカウントで機器を乗っ取ることができます。実際の攻撃では、この弱点で利用者を作ったあと、CVE-2023-20273 を使って root 権限を得て、不正なプログラム（インプラント）を書き込んでいました。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が外に出た web UI を見つける → 2. ログインせずに最上位権限の利用者を作る → 3. 作った利用者で機器にログインする → 4. CVE-2023-20273 で root 権限を得る1攻撃者が外に出た web UI を見つける2ログインせずに最上位権限の利用者を作る3作った利用者で機器にログインする4CVE-2023-20273 で root 権限を得る攻撃の流れ: 1. 攻撃者が外に出た web UI を見つける → 2. ログインせずに最上位権限の利用者を作る → 3. 作った利用者で機器にログインする → 4. CVE-2023-20273 で root 権限を得る1攻撃者が外に出た web UI を見つける2ログインせずに最上位権限の利用者を作る3作った利用者で機器にログインする4CVE-2023-20273 で root 権限を得る

誰が影響を受ける

web UI の機能が有効になっている Cisco IOS XE Software の機器を使っている組織が対象です。特に、web UI がインターネットや信頼できないネットワークに出ている機器は、侵害されていないかを確かめるよう CISA が求めています。

何をすればいい

Cisco の勧告では、修正版として 17.9.4a、17.6.6a、17.3.8a、16.12.10a（Catalyst 3650 と 3850 のみ）が示されています。更新できるまでは、no ip http server と no ip http secure-server の命令で HTTP Server の機能を無効にすることが、当面の対策になるとされています。Cisco の勧告にある確認方法で、システムのログに cisco_tac_admin や cisco_support、身に覚えのない利用者のログインなどの記録がないか調べてください。詳しくは Cisco の公式の案内を確認してください。

やることチェックリスト

用語メモ

privilege level 15
Cisco の機器で、すべての設定や操作ができる最上位の権限の段階です。
インプラント
攻撃者が侵入後に機器へ仕込む不正なプログラムのことです。
web UI
ブラウザから機器を設定・管理するための画面です。

元データ（英語・CISA KEV より）

Cisco IOS XE Web UI Privilege Escalation Vulnerability

概要

Cisco IOS XE Web UI contains a privilege escalation vulnerability in the web user interface that could allow a remote, unauthenticated attacker to create an account with privilege level 15 access. The attacker can then use that account to gain control of the affected device.

推奨対応

Verify that instances of Cisco IOS XE Web UI are in compliance with BOD 23-02 and apply mitigations per vendor instructions. For affected products (Cisco IOS XE Web UI exposed to the internet or to untrusted networks), follow vendor instructions to determine if a system may have been compromised and immediately report positive findings to CISA.

公式情報