Trusted Design

CVE-2016-6366 の詳細

CVEの情報

説明:
Buffer overflow in Cisco Adaptive Security Appliance (ASA) Software through 9.4.2.3 on ASA 5500, ASA 5500-X, ASA Services Module, ASA 1000V, ASAv, Firepower 9300 ASA Security Module, PIX, and FWSM devices allows remote authenticated users to execute arbitrary code via crafted IPv4 SNMP packets, aka Bug ID CSCva92151 or EXTRABACON.

CVE更新日: 2016-08-18 18:59:00.117000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-05-24

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.875650000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2016-6366 は、Cisco Adaptive Security Appliance (ASA) ソフトウェアの Simple Network Management Protocol (SNMP) コードにおけるバッファオーバーフローの脆弱性です。この脆弱性は、「EXTRABACON」という名称の攻撃ツールとしても知られており、Shadow Brokers によって公開された Equation Group (NSA) のツールの一部とされています。 この脆弱性はCISA Known Exploited Vulnerabilities (KEV) Catalogに登録されており、実環境で悪用されたことが確認されています。

1. 脆弱性の概要

1.1 影響

この脆弱性が悪用された場合、認証されたリモートの攻撃者が細工されたIPv4 SNMPパケットを送信することで、以下の影響が発生する可能性があります。

  • 対象システムの再起動（サービス拒否/DoS）を引き起こす。
  • 任意のコードを実行し、システムを完全に制御する。
  • リモートログイン認証（SSHやTelnetなど）を無効化し、空白のユーザー名/パスワードや任意の文字列でのログインを可能にする。

1.2 深刻度

  • CVSS v3.1 スコア: 8.8 (High)

    • 攻撃元区分: ネットワーク (AV:N)
    • 攻撃条件の複雑さ: 低 (AC:L)
    • 攻撃に必要な特権レベル: 低 (PR:L)
    • ユーザー関与: 不要 (UI:N)
    • スコープ: 変更なし (S:U)
    • 機密性への影響: 高 (C:H)
    • 完全性への影響: 高 (I:H)
    • 可用性への影響: 高 (A:H)

  • CVSS v2.0 スコア: 8.5 (High)

2. 対象となる環境

2.1 影響を受けるOSバージョン

Cisco ASA Software の以下の製品で、SNMPが有効になっているバージョンが影響を受けます。

  • Cisco ASA Software 9.4.2.3 以前のバージョン
  • Cisco ASA 5500 Series Adaptive Security Appliances
  • Cisco ASA 5500-X Series Next-Generation Firewalls
  • Cisco ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
  • Cisco ASA 1000V Cloud Firewall
  • Cisco Adaptive Security Virtual Appliance (ASAv)
  • Cisco Firepower 4100 Series
  • Cisco Firepower 9300 ASA Security Module
  • Cisco Firepower Threat Defense Software
  • Cisco Firewall Services Module (FWSM)
  • Cisco Industrial Security Appliance 3000
  • Cisco PIX Firewalls

SNMPのバージョン1、2c、および3のすべてが影響を受けます。 また、X86アーキテクチャのASAバージョン8.xおよび9.xで影響が確認されていますが、x64 (9.6以上) ではDEPおよびASLRが導入されているため、直接的なコード実行はより困難であるものの、サービス拒否攻撃は可能であるとされています。

2.2 影響を受ける設定

  • 物理または仮想のCisco ASAデバイス上でSNMP機能が有効になっている場合。
  • 攻撃者がSNMPコミュニティ文字列（SNMP v1およびv2cの場合）またはSNMP v3の有効なユーザー名とパスワードを知っている場合。
  • IPv4トラフィックのみがこの脆弱性を引き起こす可能性があります。
  • ルーテッドモードおよびトランスペアレントファイアウォールモード、ならびにシングルコンテキストモードまたはマルチコンテキストモードで設定されているシステム。

3. 影響を受けた時の兆候

  • Cisco ASAの停止（クラッシュ）および再起動が発生する。
  • リモートログイン認証（SSHやTelnetなど）において、存在しないはずのアカウント名や空白のユーザー名/パスワード、あるいは任意の文字列でログインが可能になる。
  • Syslogに不審なログイン記録（存在しないアカウント名でのログインなど）がある。
  • 意図せず設定情報が変更されている（設定のバックアップとの差分がある）。
  • SNMP機能に対するアクセス制御が不適切な設定になっている。
  • 上位機器によるSNMP通信の経路制御が適切に行われていない。

ただし、攻撃ツールにはシステムを「正常な状態」に戻す機能も含まれているため、任意の文字列による認証ができないことをもって「被害を受けていない」と断定することはできません。

4. 推奨対策

4.1 本対策

  • ソフトウェアアップデートの適用: Ciscoが提供する脆弱性に対処するソフトウェアアップデートを適用してください。
    • Ciscoのセキュリティアドバイザリを参照し、最新の修正済みソフトウェアにアップグレードすることが推奨されます。

4.2 暫定回避策（緩和策）

  • SNMP機能へのアクセス制限: SNMP機能への通信が対象機器に到達しないよう、上位の機器（ルーターや別のファイアウォールなど）でSNMP通信に対するアクセスを制限してください。
  • SNMP機能の一時的な無効化: 脆弱性が解消されるまでの間、SNMP機能を一時的に無効にすることも検討してください。
  • SNMPアクセス制御の適切化: SNMP機能に対するアクセス制御が適切な設定になっているかを確認し、必要に応じて強化してください。
  • 第三者からのSNMP通信経路制御: 第三者からSNMPを許可しているインターフェイスまで通信が到達しないよう、ネットワーク上で経路制御を適切に行ってください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る