Tenable ブログ
ブログ通知を受信する
9月Cisco Critical Advisories、Strutsの脆弱性に対するパッチを追加
Ciscoは3つの致命的な脆弱性を含む、29件の問題に対する勧告をリリースしました。このアップデートには、Apache StrutsのCVE-2018-11776に対するパッチも含まれます。
背景
9月5日（水）、Ciscoは29件の問題に対するセキュリティ勧告をリリースし、うち3つが致命的と評価しました。これらの3つの致命的な脆弱性の1つにApache Strutsの脆弱性(CVE-2018-11776)があり、弊社は先月この件に関する記事を投稿しました。残る2つの脆弱性は、Cisco Umbrella API (CVE-2018-0435)と複数のCiscoワイヤレスVPNデバイス(CVE-2018-0423)に影響するものです。
脆弱性の詳細
Strutsの脆弱性の悪用が弊社の前回のブログで報告したものと同じであった一方、この勧告はCisco Identity Services Engine (ISE)が影響を受けたことを示しています。
Cisco Umbrella APIの脆弱性が悪用された場合、認証済みのリモート攻撃者はデータを読み込み、変更できる可能性があります。この脆弱性はすでにCiscoによりパッチされており、ユーザー側のアクションは必要ありません。
CiscoワイヤレスVPNデバイスの3つ目の脆弱性を悪用することで、脆弱なデバイスに悪意あるリクエストを送信するリモート攻撃者は、サービス妨害(DoS)または任意のコードの実行につながる可能性のあるバッファーのオーバーフローを誘発することができます。この脆弱性を悪用するには、リモート管理インターフェースとゲストアカウント機能の両方が有効である必要がありますが、これら両方の機能はデフォルトで無効になっています。
緊急措置が必要
Cisco ISEユーザーの方は、関連のバグおよびパッチ情報はこちらからご確認いただけます。
影響を受けたCiscoワイヤレスVPNデバイスのユーザーの方は、お使いのデバイスで最新のファームウェアのバージョンに更新されることをお勧めします（Ciscoのソフトウェアセンターから更新可能です）。
影響を受けているシステムの特定
Tenableは、これらのアドバイザリーに関連する以下のプラグインをリリースしました。
|
プラグインID |
説明 |
|
CiscoがサービスエンジンStruts2名前空間の脆弱性を特定 |
詳細情報を入手する
- Cisco Critical Advisories、2018年9月5日
- Tenableブログ投稿: 新しいApache Strutsの脆弱性、リモートでコード実行
- Ciscoアドバイザリー: Umbrella API未承認のアクセス脆弱性
- Ciscoアドバイザリー: CVE-2018-0423
- Ciscoソフトウェアセンター
現代のアタックサーフェスを総合的に管理するCyber Exposureプラットフォーム、Tenable.ioの詳細はこちら。Tenable.io Vulnerability Managementの60日間無料トライアルをお試し下さい。
関連記事
Cybersecurity Snapshot: Latest MITRE ATT&CK Update Offers Security Insights on GenAI, Identity, Cloud and CI/CD
April 26, 2024Check out what’s new in Version 15 of the MITRE ATT&CK knowledge base of adversary tactics, techniques and procedures. Plus, learn the latest details about the Change Healthcare breach, including the massive scope of the data exfiltration. In addition, why AI cyberthreats aren’t impacting CISOs’ budgets. And much more!
CVE-2024-20353, CVE-2024-20359: Frequently Asked Questions About ArcaneDoor
April 25, 2024Frequently asked questions about CVE-2024-20353 and CVE-2024-20359, two vulnerabilities associated with “ArcaneDoor,” the espionage-related campaign targeting Cisco Adaptive Security Appliances.
CVE-2024-4040: CrushFTP Virtual File System (VFS) Sandbox Escape Vulnerability Exploited
April 23, 2024A zero-day vulnerability in CrushFTP was exploited in the wild against multiple U.S. entities prior to fixed versions becoming available as the vendor recommends customers upgrade as soon as possible.