Tenable ブログ
ブログ通知を受信する
CVE-2019-12643：Cisco IOS XEのREST APIコンテナにおける「緊急」の認証バイパスの脆弱性
シスコは、10件の脆弱性に対するアドバイザリをリリースしました。これには、REST APIコンテナが有効になっている場合にCisco IOS XEデバイスに影響を与える1件の「緊急」の脆弱性に対するアドバイザリが含まれています。
背景
8月28日、シスコは、Cisco NX-OS、FXOS、Nexus 9000シリーズファブリックスイッチ、ユニファイドコンピューティングシステム（UCS）ファブリックなど、複数の製品にわたる10件の脆弱性に対処するためのアドバイザリをリリースしました。シスコが「緊急」と評価する最も深刻な脆弱性は、Cisco IOS XEのREST APIコンテナに存在します。
分析
CVE-2019-12643は、Cisco IOS XEソフトウェアのREST API仮想サービスコンテナにある認証バイパスの脆弱性で、CVSSv3スコアはシスコにより10.0と評価されています。この脆弱性を突くと、認証されていないリモートの攻撃者は、特別に細工されたWebリクエストを脆弱なデバイスに送信することにより、認証されたユーザーのトークンIDを取得する可能性があります。認証されたユーザーのトークンIDを取得すると、攻撃者はREST APIを介して認証をバイパスし、脆弱なデバイスで権限を必要とするアクションを実行できるようになります。
この問題は深刻ですが、シスコは、攻撃者がこの脆弱性を悪用するには次の特定の要件を満たす必要があると指摘しています。
- デバイスで影響を受けるCisco IOS XEソフトウェアのバージョンが実行されている
- デバイスに影響を受けるバージョンのCisco REST API仮想サービスコンテナがインストールされ、有効化されている
- 管理者の資格情報（レベル15）を持つユーザーが、REST APIインターフェースで認証されている
REST APIコンテナはデフォルトでは利用できず、インストールとアクティベーションが必要とされるので、上記の2点目は非常に重要です。
シスコのアドバイザリでは、この脆弱性の影響を受ける可能性のある数多くのデバイスが特定されています。
| 影響を受けるデバイス |
|---|
| Cisco 4000シリーズサービス統合型ルーター |
| Cisco ASR 1000シリーズ アグリゲーション サービス ルータ |
| Cisco Cloud Services Router 1000Vシリーズ |
| シスコ サービス統合型仮想ルータ |
REST API仮想サービスコンテナがデバイスにインストールされ有効になっている場合、管理者は次のコマンドで仮想サービスコンテナの名前とバージョン情報を識別できます。
show virtual-service version installed以下は、Cisco REST APIの影響を受ける仮想サービスコンテナのリストです。
| 仮想サービスコンテナ名 | バージョン |
|---|---|
| 管理 | 1.5.1, 1.6.1, 1.7.1, 1.7.2, 1.8.1, 162.1, 99.99.99 |
| csr_mgmt (Cloud Services Router) | 03.16.03, 03.16.04, 1.0.0, 1.2.1, 1.3.1, 1.4.1, 1.5.1, 1.6.1, 1.7.1, 1.8.1, 162.1, 163.1, 2017.6, 2017.10, 99.99.99 |
概念実証
CVE-2019-12643は内部テスト中にシスコによって発見されたため、現時点では概念実証（PoC）は存在しません。また、8月28日にシスコが発表した他のアドバイザリに対する概念実証コードもリリースされていません。
ベンダー応答
シスコはCVE-2019-12643に対するブログ「Insights Regarding the Cisco REST API Container for IOS XE Software Authentication Bypass Vulnerability」を公開しました。
ソリューション
シスコは、Cisco IOS XEのREST APIコンテナの脆弱性に対して、シスコは仮想サービスコンテナの修正バージョンであるiosxe-remote-mgmt.16.03.03.ovaをリリースしました。また、脆弱性のあるOpen Virtual Format（OVA）パッケージがインストールされないようにするための追加の保護手段を備えたIOS XEの更新プログラムもリリースされました。
Cisco IOS XEのバージョンが影響を受けているかどうかを判断するには、シスコのIOSソフトウェアチェッカーツールを使用してください。
また、シスコは、アドバイザリで報告された他の脆弱性に対処するソフトウェア更新プログラムもリリースしました。影響を受けるバージョン、修正されたバージョン、および回避策に関する詳細については、各アドバイザリを参照してください。
影響を受けているシステムの特定
この脆弱性を識別するための Tenable のプラグインのリストは、リリースされた時点で こちら に表示されます。
詳細情報
- Cisco REST API Container for IOS XE Software Authentication Bypass Vulnerability
- Cisco PSIRT Blog for CVE-2019-12643
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
Cybersecurity Snapshot: CISA Says Midnight Blizzard Swiped U.S. Gov’t Emails During Microsoft Hack, Tells Fed Agencies To Take Immediate Action
April 12, 2024Check out CISA’s urgent call for federal agencies to protect themselves from Midnight Blizzard’s breach of Microsoft corporate emails. Plus, a new survey shows cybersecurity pros are guardedly optimistic about AI. Meanwhile, SANS pinpoints the four trends CISOs absolutely must focus on this year. And the NSA is sharing best practices for data security. And much more!
Cybersecurity Snapshot: U.S. Gov’t Unpacks AI Threat to Banks, as NCSC Urges OT Teams to Protect Cloud SCADA Systems
March 29, 2024Check out new guidance for banks on combating AI-boosted fraud. Plus, how to cut cyber risk when migrating SCADA systems to the cloud. Meanwhile, why CISA is fed up with SQLi flaws. And best practices to prevent and respond to DDoS attacks. And much more!
Tenable and Thales Collaborate to Provide Cyber Defense Simulations to Better Secure Operational Technology Environments
April 18, 2024The heart of the Welsh Valleys is home to the Thales Ebbw Vale campus, a world-class facility jointly funded by the Welsh government as part of its regeneration program for the region. At the core of the facility is the Cyber Range, a simulation and virtualization platform for training, testing, exercising and R&D. Tenable has joined the lineup of solutions used to run real world simulations in this controlled environment.
Oracle April 2024 Critical Patch Update Addresses 239 CVEs
April 17, 2024Oracle addresses 239 CVEs in its second quarterly update of 2024 with 441 patches, including 38 critical updates.
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
- Vulnerability Management