Tenable ブログ
ブログ通知を受信する
シスコネットワーキングデバイスの3つのモデルの管理インターフェイス、RCE攻撃に対して脆弱
Cisco RV110W、RV130W、およびRV215Wデバイスの新しい脆弱性（CVE-2019-1663）を悪用すると、悪意のあるHTTPリクエストを介したRCE攻撃が可能になります。
背景
シスコは、特定のルータおよびファイアウォールデバイス（RV110W、RV130W、RV215W）のリモート管理インターフェイスに存在するリモートコード実行（RCE）の脆弱性（CVE-2019-1663）のためのセキュリティアドバイザリをリリースしました 。この脆弱性を悪用すると、認証されていないリモートの攻撃者は悪質なHTTPリクエストを送信し、任意のコードを実行する可能性があります。シスコはこの脆弱性に対処するために、影響を受けるデバイスのファームウェアアップデートをリリースしました。
分析
シスコはこの脆弱性のエクスプロイトに関する技術的な詳細情報を公開していませんが、この脆弱性は、セキュリティ研究者Yu ZhangとHaoliang Lu（2018年10月24日～25日、GeekPwnカンファレンス）、および、Pen Test PartnersのT. Shiomitsuにより発見されました。この脆弱性は、HTTP / HTTPSユーザー管理インターフェイスを介したユーザー入力フィールドの検証が不適切であるためだと報告されています。
シスコはこの脆弱性にCWE-119（バッファオーバーフロー）のタグを付けました。つまり、これらのデバイスでは認証されていないユーザー入力フィールドを操作して、デバイスのメモリにコードをドロップし、それをシステムレベルで実行することができます。
ソリューション
シスコはこの脆弱性に対処するために各デバイスのファームウェアアップデートをリリースしました。
シスコによると、この脆弱性は次のファームウェアバージョンで修正されています。
- RV110W Wireless-N VPN Firewall: 1.2.2.1
- RV130W Wireless-N Multifunction VPN Router: 1.0.3.45
- RV215W Wireless-N VPN Router: 1.3.1.1
影響を受けているシステムの特定
この脆弱性を特定するための Nessus プラグイン一覧は、リリースされる度にこちらに表示されます。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
Operational Technology in the DoD: Ensuring a Secure and Efficient Power Grid
April 19, 2024In an evolving threat landscape, the DoD must make sure that its mission-critical operations don’t experience power outages.
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
Cybersecurity Snapshot: CISA Says Midnight Blizzard Swiped U.S. Gov’t Emails During Microsoft Hack, Tells Fed Agencies To Take Immediate Action
April 12, 2024Check out CISA’s urgent call for federal agencies to protect themselves from Midnight Blizzard’s breach of Microsoft corporate emails. Plus, a new survey shows cybersecurity pros are guardedly optimistic about AI. Meanwhile, SANS pinpoints the four trends CISOs absolutely must focus on this year. And the NSA is sharing best practices for data security. And much more!
Operational Technology in the DoD: Ensuring a Secure and Efficient Power Grid
April 19, 2024In an evolving threat landscape, the DoD must make sure that its mission-critical operations don’t experience power outages.
Cybersecurity Snapshot: Cyber Agencies Offer Secure AI Tips, while Stanford Issues In-Depth AI Trends Analysis, Including of AI Security
April 19, 2024Check out recommendations for securing AI systems from the Five Eyes cybersecurity agencies. Plus, Stanford University offers a comprehensive review of AI trends. Meanwhile, a new open-source tool aims to simplify SBOM usage. And don’t miss the latest CIS Benchmarks updates. And much more!
Tenable and Thales Collaborate to Provide Cyber Defense Simulations to Better Secure Operational Technology Environments
April 18, 2024The heart of the Welsh Valleys is home to the Thales Ebbw Vale campus, a world-class facility jointly funded by the Welsh government as part of its regeneration program for the region. At the core of the facility is the Cyber Range, a simulation and virtualization platform for training, testing, exercising and R&D. Tenable has joined the lineup of solutions used to run real world simulations in this controlled environment.
- Vulnerability Management
- Vulnerability Scanning