Cisco 871 Integrated Services Routerで動くCisco IOS 12.4のHTTP Administration機能には、CVE-2008-4128の複数のCSRFがあります。攻撃者がログイン済み管理者を細工したページや要求へ誘導すると、その管理者のセッションで特権IOSコマンドが実行される可能性があります。認証不要でルーターへ直接侵入する脆弱性ではありません。
今すぐ行う対策
- ✓HTTP管理機能が有効か、管理画面がどこから到達できるかを確認する
- ✓不要ならHTTP管理を停止し、必要なら管理ネットワークと許可端末だけに制限する
- ✓Cisco 871をサポート対象の機器へ移行する計画を実行する
- ✓設定変更と管理ログを確認し、不審な変更があれば既知の安全な設定から復旧する
脆弱性の概要と影響範囲
CVEレコードが確認している対象はCisco 871 Integrated Services Router上のIOS 12.4です。攻撃は管理者のブラウザーと既存セッションを悪用するCSRFであり、利用者操作が前提です。古い機器を継続利用する場合のアクセス制限は暫定策にすぎず、更新と移行が必要です。
NVDにはCVSS v2.0 9.3 HIGHとCVSS v3.1 4.3 MEDIUMの評価があります。v2.0にはCRITICAL区分がないため、9.3をCRITICALとは表記しません。本稿のボックスは新しい評価体系であるv3.1 4.3を表示し、v2.0評価も本文で併記します。国家支援主体への帰属や現在の悪用は、CISAの直接資料で確認できた場合に限って追記します。
具体的な影響・攻撃シナリオ
攻撃者は、標的となるCisco 871 Integrated Services Routerの管理者権限を持つユーザーを、細工されたウェブサイトなどに誘導します。ユーザーがそのサイトを閲覧すると、ブラウザがルーターの管理インターフェースに対して悪意のあるリクエストを自動的に送信し、攻撃者の意図するコマンド（例えば、権限昇格や設定変更）が実行されます。
米CISAによると、この脆弱性はロシア連邦保安庁（FSB）に所属するサイバーアクターが10年以上にわたり悪用しており、通信、防衛、エネルギー、金融サービス、政府、ヘルスケアなど、多岐にわたる分野の組織が標的となっています。攻撃者は、脆弱なネットワーク機器や不適切に設定された機器を悪用して、設定情報を窃取したり、デバイスを完全に制御したりする活動を展開しています。
Cisco IOS Software Release 12.4 Mainlineは2016年1月31日にサポートが終了しており、Cisco 871 Integrated Services Routerも2015年12月にはサポートが終了しています。 サポート終了製品であるため、公式なセキュリティパッチは提供されていません。
📦