Cisco、高深刻度のDoSおよび特権昇格の脆弱性を修正

Security

記事本文（要約）

Ciscoは水曜日に、製品に影響する十数の脆弱性に関する10件のセキュリティ勧告を公開しました。これには、Identity Services Engine (ISE)とUnified Intelligence Centerの2つの高深刻度の脆弱性が含まれています。CVE-2025-20152として追跡されているISEのバグは、RADIUSメッセージ処理機能に影響し、認証なしで遠隔から悪用されると、ISEを再起動させ、サービス拒否（DoS）状態を引き起こす可能性があります。Unified Intelligence Centerの高深刻度の脆弱性（CVE-2025-20113）は、認証済みの攻撃者が脆弱なシステムで管理者権限を得る可能性があります。その他にも中程度の深刻度の脆弱性CVE-2025-20114が解決されており、水平特権昇格を引き起こす可能性があります。また、他の製品にも中程度の深刻度のバグが修正されていますが、これらの脆弱性が実際に悪用された事例は報告されていないとしています。詳細はCiscoのセキュリティ勧告ページで確認できます。

※この要約はChatGPTを使用して生成されました。

公開日: Thu, 22 May 2025 08:39:09 +0000

Original URL: https://www.securityweek.com/cisco-patches-high-severity-dos-privilege-escalation-vulnerabilities/

詳細な技術情報

このCisco製品に関する脆弱性の報告について、以下に詳細を説明します。

CVE番号と脆弱性の概要

  1. CVE-2025-20152
  • 製品: Cisco Identity Services Engine (ISE)
  • 脆弱性の仕組み: この脆弱性はRADIUSメッセージ処理機能に存在し、不適切なRADIUS要求の処理によるものです。
  • 攻撃手法: 認証なしにリモートで悪用が可能で、特定の認証要求をネットワークアクセスデバイス（NAD）に送信することでサービス拒否（DoS）状態を引き起こせる。
  • 潜在的な影響: ISEの再起動を誘発し、サービス拒否状態を引き起こす可能性があります。
  • 推奨される対策: Ciscoによるパッチ適用。Ciscoのセキュリティアドバイザリで具体的な更新情報を参照してください。
  1. CVE-2025-20113
  • 製品: Unified Intelligence Center
  • 脆弱性の仕組み: ユーザーが提供するパラメータのサーバーサイドでの不十分な検証が原因です。
  • 攻撃手法: 認証済みの攻撃者が特定のAPIまたはHTTPリクエストを操作して送信することで管理者権限を一部の機能で獲得する可能性があります。
  • 潜在的な影響: 権限昇格により、限られた範囲での管理者機能へのアクセスが可能となります。
  • 推奨される対策: パッチ適用と共に、APIやHTTPに関する入力パラメータの厳格なサーバーサイド検証を実施すること。
  1. CVE-2025-20114
  • 脆弱性の仕組み: APIリクエスト中のユーザー提供パラメータの不十分な検証。
  • 攻撃手法: 不正なAPIリクエストを用いた直接オブジェクト参照攻撃。
  • 潜在的な影響: 水平権限昇格が可能。
  • 推奨される対策: パラメータバリデーションの強化と共に、適切なパッチを適用する。

その他の脆弱性と影響

  • Medium-severityの脆弱性がWebex、Secure Network Analytics Manager、Duoなどにも存在。
  • XSS攻撃、HTTPレスポンスの改ざん、任意のコマンド実行、データ改ざんなどの危険がある。

一般的な推奨される対策

  • パッチの即時適用: Ciscoから提供される最新のパッチを適用します。
  • サーバーサイドでの厳格な入力検証: 特にAPIやHTTPリクエストでの入力データの検証を徹底すること。
  • ネットワーク監視強化: 異常なリクエストやシステム動作を監視するためにログやアラートの設定を行う。
  • 十分なテスト: 更新やパッチを適用する際には、動作確認を行い、システム全体の影響を考慮する。