Trusted DesignCVE-2020-3153 の詳細
CVEの情報
説明:
A vulnerability in the installer component of Cisco AnyConnect Secure Mobility Client for Windows could allow an authenticated local attacker to copy user-supplied files to system level directories with system level privileges. The vulnerability is due to the incorrect handling of directory paths. An attacker could exploit this vulnerability by creating a malicious file and copying the file to a system directory. An exploit could allow the attacker to copy malicious files to arbitrary locations with system level privileges. This could include DLL pre-loading, DLL hijacking, and other related attacks. To exploit this vulnerability, the attacker needs valid credentials on the Windows system.
CVE更新日: 2020-02-19 20:15:15.113000
CVSSバージョン: 3.1
CVSSスコア: 6.5
KEVの情報
KEV更新日: 2022-10-24
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.283070000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2020-3153に関する調査結果を以下に示します。
1. 脆弱性の概要
Windows版Cisco AnyConnect Secure Mobility Clientのインストーラコンポーネントに存在する脆弱性です。認証されたローカルの攻撃者が、ユーザー提供ファイルをシステムレベルの権限でシステムレベルディレクトリにコピーすることを可能にします。 この脆弱性は、ディレクトリパスの不適切な処理に起因します。 攻撃者は、悪意のあるファイルを作成し、それをシステムディレクトリにコピーすることでこの脆弱性を悪用できます。
悪用には、攻撃者がWindowsシステム上で有効な認証情報を持っている必要があります。 これにより、DLLプリロード、DLLハイジャック、およびその他の関連する攻撃が可能になる可能性があります。 攻撃者は、Cisco AnyConnect Secure Mobility Agentサービスが使用するループバックデバイス上のTCPポート62522に対して特別に作成されたIPCリクエストを送信することで悪用できます。このサービスは脆弱なインストーラコンポーネント（「vpndownloader」）を起動し、それがシステム権限で任意の場所に自身をコピーします。
1.1 影響
具体的には、攻撃者は悪意のあるファイルをシステムレベルの権限で任意の場所にコピーできます。
機密性への影響は「なし」、完全性への影響は「高」と評価されています。
1.2 深刻度
中程度の深刻度と分類されていますが、積極的に悪用されているため、速やかなパッチ適用が極めて重要です。 Broadcom社は、この攻撃を「高」の深刻度と評価しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
Cisco AnyConnect Secure Mobility Client for Windowsが動作するWindows OSが対象です。 PoC（概念実証）のテストでは、Windows 7およびWindows 10が言及されています。
本脆弱性は、バージョン4.8.02042より前のCisco AnyConnect Secure Mobility Client for Windowsのすべてのリリースに影響を与えます。
2.2 影響を受ける設定
インストーラコンポーネントに脆弱性があります。 攻撃者はWindowsシステム上の有効な認証情報を必要とします。 vpndownloader.exeコンポーネントと、TCPポート62522上のIPCチャネルが悪用に関与しています。 AnyConnectの自動更新メカニズムも、特権昇格の脆弱性を悪用する方法として言及されています。
3. 影響を受けた時の兆候
この脆弱性による具体的な「兆候」は、検索結果には明示的に記載されていません。しかし、上記「1.1 影響」で述べられている特権昇格、任意のコード実行、ファイルの変更、永続的なアクセス、VPN接続の侵害などが兆候として現れる可能性があります。例えば、予期しないシステムレベルのファイル変更、高特権で実行される新規プロセスの存在、またはVPNを介した企業ネットワークへの不正アクセスなどが挙げられます。
4. 推奨対策
4.1 本対策
Cisco AnyConnect Secure Mobility Client for Windowsをバージョン4.8.02042以降にアップグレードしてください。 Ciscoはこの問題に迅速に対処しており、バージョン4.8.02042以降は安全とされています。 ベンダーの指示に従ってアップデートを適用することが重要です。 システムレベルの攻撃を防ぐため、組織はパッチ適用を最優先する必要があります。
4.2 暫定回避策（緩和策）
この脆弱性に対処する回避策はありません。
参照したサイト
その他解説すべき観点