Cisco NX-OS のOSコマンドインジェクションの脆弱性（CVE-2024-20399）

何が起きた

Cisco のネットワーク機器用ソフト NX-OS の CLI（文字で操作する画面）に、コマンドインジェクションと呼ばれる弱点が見つかりました。一部の設定コマンドに渡す値の確認が不十分なため、細工した値を入れると、機器の裏側で動く OS 上で root（最高の権限）として好きな命令を実行できる可能性があります。悪用するには機器上で操作でき、管理者のログイン情報を持っている必要があります。Cisco は 2024 年 4 月に、実際に悪用が試みられたことを把握したと説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco の勧告では、影響を受けるのは MDS 9000 シリーズ、Nexus 3000 シリーズ、Nexus 5500、Nexus 5600、Nexus 6000、Nexus 7000 シリーズ、スタンドアロンの NX-OS モードの Nexus 9000 シリーズで、弱いバージョンの NX-OS が動いているものです。ただし Nexus 3000 シリーズ、NX-OS 8.1(1) 以降の Nexus 7000 シリーズ、スタンドアロンの NX-OS モードの Nexus 9000 シリーズは、もともと bash-shell 機能で管理者が OS を使えるため、この弱点で新たな権限は増えないとされています。細かいバージョンは Cisco Software Checker で確かめられます。

何をすればいい

Cisco の勧告によると、回避策はないため、修正されたバージョンへ更新することが対策になります。使っているバージョンが影響を受けるかと、どのバージョンで直ったかは、Cisco Software Checker で確かめてください。勧告では、管理者アカウント network-admin と vdc-admin のログイン情報を見張り、こまめに変えること、予期しない設定の変更がないか見張ることもすすめています。あわせて公式の案内を確認してください。

やることチェックリスト

• Cisco Software Checker で修正版を調べる
• NX-OS を修正されたバージョンへ更新する
• network-admin のパスワードをこまめに変える

用語メモ

CLI

文字のコマンドを打ち込んで機器やソフトを操作する方法です。

コマンドインジェクション

入力した値に命令を紛れ込ませ、本来は許されていない命令を実行させる攻撃です。

root

Linux などで、すべての操作ができるいちばん強い権限です。

bash-shell

NX-OS の機能の1つで、管理者が機器の裏側の OS を直接操作できるようにするものです。