最近の脆弱性 › CVE-2023-20273
Cisco Cisco IOS XE Web UI のコマンドインジェクションの脆弱性（CVE-2023-20273）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-20273 |
|---|---|
| 製品 | Cisco Cisco IOS XE Web UI |
| 深刻度（CVSS） | 7.2 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2023-10-23 |
| 米国政府機関の対応期限 | 2023-10-27 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78 |
何が起きた
Cisco IOS XE Software の Web 画面（web UI）に、入力の確認が足りず、OS への命令を紛れ込ませられる弱点が見つかりました。ネットワーク経由でログインした攻撃者が細工した入力を送ると、最も強い root 権限で命令を実行できます。攻撃者は CVE-2023-20198 で作ったアカウントからこの弱点を使い、機器に不正なプログラム（インプラント）を書き込んでいました。実際の悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
web UI の機能が有効になっている Cisco IOS XE Software の機器を使っている組織が対象です。特に、web UI がインターネットや信頼できないネットワークに出ている機器は、侵害されていないかを確かめるよう CISA が求めています。
何をすればいい
Cisco の勧告では、修正版として 17.9.4a、17.6.6a、17.3.8a、16.12.10a（Catalyst 3650 と 3850 のみ）が示されています。更新できるまでは、no ip http server と no ip http secure-server の命令で HTTP Server の機能を無効にすることが、当面の対策になるとされています。Cisco の勧告にある確認方法で、システムのログに cisco_tac_admin や cisco_support、身に覚えのない利用者のログインなどの記録がないか調べてください。詳しくは Cisco の公式の案内を確認してください。
やることチェックリスト
- IOS XE を修正版に更新する
- 更新まで HTTP Server の機能を無効にする
- ログに身に覚えのない利用者の記録がないか調べる
用語メモ
- root 権限
- 機器やOSの中で、あらゆる操作ができる最も強い権限です。
- インプラント
- 攻撃者が侵入後に機器へ仕込む不正なプログラムのことです。
- web UI
- ブラウザから機器を設定・管理するための画面です。
元データ（英語・CISA KEV より）
Cisco IOS XE Web UI Command Injection Vulnerability
概要
Cisco IOS XE contains a command injection vulnerability in the web user interface. When chained with CVE-2023-20198, the attacker can leverage the new local user to elevate privilege to root and write the implant to the file system. Cisco identified CVE-2023-20273 as the vulnerability exploited to deploy the implant. CVE-2021-1435, previously associated with the exploitation events, is no longer believed to be related to this activity.
推奨対応
Verify that instances of Cisco IOS XE Web UI are in compliance with BOD 23-02 and apply mitigations per vendor instructions. For affected products (Cisco IOS XE Web UI exposed to the internet or to untrusted networks), follow vendor instructions to determine if a system may have been compromised and immediately report positive findings to CISA.