Cisco Adaptive Security Appliance and Firepower Threat Defense の認証回避の脆弱性（CVE-2023-20269）

何が起きた

Cisco Adaptive Security Appliance（ASA）と Firepower Threat Defense（FTD）のリモートアクセス VPN 機能で、認証などの区切りが正しく分かれていない弱点が見つかりました。ログインしていない攻撃者がネットワーク経由でパスワードの総当たり攻撃を行い、正しいユーザー名とパスワードの組み合わせを探せるおそれがあります。正しい認証情報を持つ攻撃者は、許可されていない利用者としてクライアントレス SSL VPN の接続を作れるおそれもあります。実際に悪用が確認され、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

リモートアクセス VPN 機能を使っている Cisco ASA と Cisco FTD のソフトウェアの利用者が対象です。クライアントレス SSL VPN の接続を作られる問題は、Cisco ASA Software Release 9.16 以前だけで起きるとされています。なお、この弱点で認証そのものを飛ばすことはできず、多要素認証を設定していれば、その2つめの要素も必要です。

何をすればいい

Cisco の公式の案内（cisco-sa-asaftd-ravpn-auth-8LyfCkeC）を確認し、Cisco Software Checker で修正されたソフトウェアを調べて更新してください。Cisco は、修正版が出るまで回避策を適用するよう強く勧めています。回避策には、group-lock で利用者を決まった接続プロファイルに固定すること、DfltGrpPolicy の vpn-simultaneous-logins を 0 にすること、ログイン失敗の回数に上限を設けることなどがあります。 vpn-simultaneous-logins を 0 にする前には、使う接続プロファイルが独自のグループポリシーを指しているかを確かめるよう Cisco は注意しています。また Cisco は、VPN で多要素認証を有効にすると、不正なアクセスの危険を大きく減らせるとしています。

やることチェックリスト

• 修正されたソフトウェアに更新する
• group-lock で接続先のプロファイルを固定する
• vpn-simultaneous-logins を 0 にする

用語メモ

総当たり攻撃

考えられるパスワードを次々に試して、当たりを探す攻撃です。

VPN

インターネット越しに、会社などのネットワークへ安全につなぐための仕組みです。

多要素認証

パスワードに加えて、スマートフォンの確認など別の手段でも本人確認をする方法です。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪いプログラムです。