Cisco Smart Licensing Utility の脆弱性（CVE-2024-20439）

何が起きた

ライセンス管理のソフト Cisco Smart Licensing Utility に、説明書に書かれていない、固定の管理者用ログイン情報が組み込まれていました。攻撃者はこの情報を使ってログインし、このソフトの API を管理者の権限で操作できるおそれがあります。この弱点は実際の攻撃に使われたことが確認されています。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco Smart Licensing Utility の 2.0.0、2.1.0、2.2.0 を使っている組織です。2.3.0 は影響を受けません。Cisco によると、この弱点は、利用者がソフトを起動して動かしているあいだだけ悪用できるとされています。

何をすればいい

Cisco Smart Licensing Utility を 2.3.0 に移行されているか確認してください。Cisco は、この弱点を回避する方法はないとしています。同じ勧告では、情報がもれる別の弱点 CVE-2024-20440 も扱われているので、あわせて Cisco の公式の案内を確認してください。

やることチェックリスト

• 使っている版が 2.0.0〜2.2.0 か確認する
• 修正済みの 2.3.0 に移行する
• CVE-2024-20440 の対策もあわせてする

用語メモ

API

ほかのプログラムからソフトの機能を呼び出して使うための窓口です。

ライセンス

ソフトや機能を使ってよいという権利のことです。