- ひとことでCisco ASA と FTD で、細工した通信により機器を再起動させられる弱点
- 深刻度8.6 重要CVSS v3.1
- まずやることCisco Software Checker で修正版を調べる
基本情報（データから表示）
| CVE番号 | CVE-2024-20353 |
|---|---|
| 製品 | Cisco Adaptive Security Appliance (ASA) and Firepower Threat Defense (FTD) |
| 深刻度（CVSS） | 8.6 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H |
| KEVへの追加日 | 2024-04-24 |
| 米国政府機関の対応期限 | 2024-05-01 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-835（無限ループ） |
何が起きた
Cisco ASA と FTD の管理用と VPN 用の Web サーバーに、HTTP ヘッダーの確認が不十分な弱点が見つかり、実際に悪用が確認されています。攻撃者が細工した HTTP リクエストを送ると、機器が予期せず再起動し、DoS の状態になるおそれがあります。KEV では、処理が終わらなくなる無限ループの弱点とされています。攻撃はネットワーク経由で、ログインも利用者の操作も必要ありません。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Cisco ASA Software または FTD Software で、SSL VPN や管理用の Web サーバー（ASDM など）といった、SSL の待ち受けが有効になる機能を使っている機器が対象です。Cisco の勧告にあるコマンドで SSL の待ち受けがあるか確かめ、あれば影響を受けると考えるよう案内されています。対象のバージョンは、勧告の Fixed Software の項目で確認できます。
何をすればいい
回避策はなく、Cisco は修正済みのソフトウェアへの更新を強く勧めています。Cisco Software Checker を使うと、使っているバージョンに影響があるかと、最初の修正版を調べられます。Cisco は、記録にない設定変更や予定外の再起動、不審な認証の動きがないか、システムログを見張ることも勧めています。メーカー（Cisco）の公式の案内を確認してください。
やることチェックリスト
- Cisco Software Checker で修正版を調べる
- 修正済みのソフトウェアに更新する
- 予定外の再起動や設定変更をログで確かめる
用語メモ
- HTTP ヘッダー
- Web の通信で、本文の前に付けて送る付加情報の部分です。
- DoS 用語集で見る
- サービス妨害攻撃のことで、機器やサービスを止めたり使えなくしたりする攻撃です。
- 無限ループ
- プログラムが同じ処理を終わりなく繰り返してしまう状態です。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Cisco ASA and FTD Denial of Service Vulnerability
概要
Cisco Adaptive Security Appliance (ASA) and Firepower Threat Defense (FTD) contain an infinite loop vulnerability that can lead to remote denial of service condition.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る