CVE-2019-12643：Cisco IOS XEのREST APIコンテナにおける「緊急」の認証バイパスの脆弱性
シスコは、10件の脆弱性に対するアドバイザリをリリースしました。これには、REST APIコンテナが有効になっている場合にCisco IOS XEデバイスに影響を与える1件の「緊急」の脆弱性に対するアドバイザリが含まれています。
背景
8月28日、シスコは、Cisco NX-OS、FXOS、Nexus 9000シリーズファブリックスイッチ、ユニファイドコンピューティングシステム（UCS）ファブリックなど、複数の製品にわたる10件の脆弱性に対処するためのアドバイザリをリリースしました。シスコが「緊急」と評価する最も深刻な脆弱性は、Cisco IOS XEのREST APIコンテナに存在します。
分析
CVE-2019-12643は、Cisco IOS XEソフトウェアのREST API仮想サービスコンテナにある認証バイパスの脆弱性で、CVSSv3スコアはシスコにより10.0と評価されています。この脆弱性を突くと、認証されていないリモートの攻撃者は、特別に細工されたWebリクエストを脆弱なデバイスに送信することにより、認証されたユーザーのトークンIDを取得する可能性があります。認証されたユーザーのトークンIDを取得すると、攻撃者はREST APIを介して認証をバイパスし、脆弱なデバイスで権限を必要とするアクションを実行できるようになります。
この問題は深刻ですが、シスコは、攻撃者がこの脆弱性を悪用するには次の特定の要件を満たす必要があると指摘しています。
- デバイスで影響を受けるCisco IOS XEソフトウェアのバージョンが実行されている
- デバイスに影響を受けるバージョンのCisco REST API仮想サービスコンテナがインストールされ、有効化されている
- 管理者の資格情報（レベル15）を持つユーザーが、REST APIインターフェースで認証されている
REST APIコンテナはデフォルトでは利用できず、インストールとアクティベーションが必要とされるので、上記の2点目は非常に重要です。
シスコのアドバイザリでは、この脆弱性の影響を受ける可能性のある数多くのデバイスが特定されています。
| 影響を受けるデバイス |
|---|
| Cisco 4000シリーズサービス統合型ルーター |
| Cisco ASR 1000シリーズ アグリゲーション サービス ルータ |
| Cisco Cloud Services Router 1000Vシリーズ |
| シスコ サービス統合型仮想ルータ |
REST API仮想サービスコンテナがデバイスにインストールされ有効になっている場合、管理者は次のコマンドで仮想サービスコンテナの名前とバージョン情報を識別できます。
show virtual-service version installed以下は、Cisco REST APIの影響を受ける仮想サービスコンテナのリストです。
| 仮想サービスコンテナ名 | バージョン |
|---|---|
| 管理 | 1.5.1, 1.6.1, 1.7.1, 1.7.2, 1.8.1, 162.1, 99.99.99 |
| csr_mgmt (Cloud Services Router) | 03.16.03, 03.16.04, 1.0.0, 1.2.1, 1.3.1, 1.4.1, 1.5.1, 1.6.1, 1.7.1, 1.8.1, 162.1, 163.1, 2017.6, 2017.10, 99.99.99 |
概念実証
CVE-2019-12643は内部テスト中にシスコによって発見されたため、現時点では概念実証（PoC）は存在しません。また、8月28日にシスコが発表した他のアドバイザリに対する概念実証コードもリリースされていません。
ベンダー応答
シスコはCVE-2019-12643に対するブログ「Insights Regarding the Cisco REST API Container for IOS XE Software Authentication Bypass Vulnerability」を公開しました。
ソリューション
シスコは、Cisco IOS XEのREST APIコンテナの脆弱性に対して、シスコは仮想サービスコンテナの修正バージョンであるiosxe-remote-mgmt.16.03.03.ovaをリリースしました。また、脆弱性のあるOpen Virtual Format（OVA）パッケージがインストールされないようにするための追加の保護手段を備えたIOS XEの更新プログラムもリリースされました。
Cisco IOS XEのバージョンが影響を受けているかどうかを判断するには、シスコのIOSソフトウェアチェッカーツールを使用してください。
また、シスコは、アドバイザリで報告された他の脆弱性に対処するソフトウェア更新プログラムもリリースしました。影響を受けるバージョン、修正されたバージョン、および回避策に関する詳細については、各アドバイザリを参照してください。
影響を受けているシステムの特定
この脆弱性を識別するための Tenable のプラグインのリストは、リリースされた時点で こちら に表示されます。
詳細情報
- Cisco REST API Container for IOS XE Software Authentication Bypass Vulnerability
- Cisco PSIRT Blog for CVE-2019-12643
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
Satnam Narang
シニアスタッフリサーチエンジニア、セキュリティリスポンス
Tenable に 2018 年に入社した Satnam は、業界で 15 年以上の経歴があり (M86 Security、Symantec)、フィッシング対策協議会のメンバーとして、全米サイバーセキュリティアライアンス (NCSA) の「SNS ガイド」の編纂に寄与したほか、Twitter では巨大なスパムのボットネットを発見し、Tinderでもスパムボットを最初に報告するなど広く活動してきました。NBC テレビの Nightly News、Entertainment Tonight、また Bloomberg West や、Why Oh Why ポッドキャストに出演しています。
プライベートの時間には... 詩作に励み、ヒップホップも作曲します。音楽は生で聴くのが好きで、3人の姪との時間が楽しみ。フットボールやバスケットボール、ボリウッド映画や音楽、グログー (ベビーヨーダ) がお気に入りです。
関連記事
Tenable Is Named a Gartner Peer Insights Customers’ Choice for the Vulnerability Assessment Market
Tenable customers have spoken: Here’s what they’re saying about our products....
Narrowing the Focus: Enhancements to Tenable VPR and How It Compares to Other Prioritization Models
Tenable is releasing a number of enhancements to the Vulnerability Priority Rating (VPR), including enriched threat intelligence, AI-driven insights and explainability, and contextual metadata. Learn how the improved prioritization effectiveness of the enhanced VPR compares to other common prioritiz...
Forrester Names Tenable a Leader in the Q3 2025 Unified Vulnerability Management Solutions Wave™ Report
“Tenable continues to extend its established vulnerability management offerings into exposure management with its Tenable One platform,” according to the report....
- Vulnerability Management