Trusted Design

CVE-2023-20198 の詳細

CVEの情報

説明:
Cisco is providing an update for the ongoing investigation into observed exploitation of the web UI feature in Cisco IOS XE Software. We are updating the list of fixed releases and adding the Software Checker. Our investigation has determined that the actors exploited two previously unknown issues. The attacker first exploited CVE-2023-20198 to gain initial access and issued a privilege 15 command to create a local user and password combination. This allowed the user to log in with normal user access. The attacker then exploited another component of the web UI feature, leveraging the new local user to elevate privilege to root and write the implant to the file system. Cisco has assigned CVE-2023-20273 to this issue. CVE-2023-20198 has been assigned a CVSS Score of 10.0. CVE-2023-20273 has been assigned a CVSS Score of 7.2. Both of these CVEs are being tracked by CSCwh87343.

CVE更新日: 2023-10-16 16:15:10.023000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2023-10-16

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.995710000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-20198は、Cisco IOS XEソフトウェアのWeb UI機能における深刻な認証バイパスの脆弱性です。この脆弱性は、認証されていない攻撃者が最高レベルの管理者権限（特権レベル15）を持つローカルアカウントを作成することを可能にします。この脆弱性は、すでに実環境で活発に悪用されているゼロデイ脆弱性として確認されています。

1. 脆弱性の概要

1.1 影響

本脆弱性を悪用されると、攻撃者は認証なしにデバイスに初期アクセスし、管理者権限（特権レベル15）を持つアカウントを作成できます。 その後、作成されたアカウントを利用して、対象のシステムを事実上完全に制御することが可能になります。 また、この脆弱性は、CVE-2023-20273（コマンドインジェクションの脆弱性）と組み合わせて悪用されることが多く、攻撃者は作成したローカルユーザーを通じてroot権限に昇格し、ファイルシステムに悪意のあるインプラント（マルウェア）を書き込むことができます。

根本原因は、Web UIコンポーネントにおける不適切なアクセス制御と、リクエスト検証ロジックの欠陥により認証が完全にバイパスされることにあります。

1.2 深刻度

CVSS v3.1ベーススコアは10.0 (Critical) と評価されており、極めて高い深刻度です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Cisco IOS XEソフトウェアを実行しているネットワーク製品が影響を受けます。 具体的には、Cisco IOS XE Software バージョン16.0.xから17.9.xが影響を受けます。 修正版が提供されているバージョンは以下の通りです。 * Cisco IOS XE 17.9.4a以降 * Cisco IOS XE 17.6.6a以降 * Cisco IOS XE 17.3.8a以降 * Cisco IOS XE 16.12.10a以降

2.2 影響を受ける設定

以下の2つの条件を両方満たす場合に脆弱性の影響を受けます。 * ネットワーク製品上でCisco IOS XEが稼働していること。 * Web UI機能が有効になっていること。

Web UI機能が有効になっているかを確認するには、以下のコマンドを実行します。 show running-config | include ip http server|secure|active

実行結果にip http server、ip http secure-serverのいずれか、または両方が表示された場合、Web UI機能が有効になっています。

ただし、以下のケースでは該当コマンドが表示された場合であっても脆弱性の影響を受けないとされています。 * ip http serverコマンドが存在するが、設定にip http active-session-modules noneが含まれている場合。 * ip http secure-serverコマンドが存在するが、設定にip http secure-active-session-modules noneが含まれている場合。

3. 影響を受けた時の兆候

  • 説明のない、または新規に作成されたユーザーアカウントがデバイス上に存在すること。特に、cisco_tac_adminやcisco_supportといったユーザー名が確認された場合。
  • ログに以下のエントリが確認されること。
    • %SYS-5-CONFIG_P: Configured programmatically by process SEP_webui_wsma_http from console as user on line
    • %SEC_LOGIN-5-WEBLOGIN_SUCCESS: Login Success [user: user] [Source: source_IP_address]
  • 不審なIPアドレスからのログイン成功の兆候。
  • 特定のcurlコマンドを実行した際に、応答で「0123456789abcdef01」のような16進数文字列が返される場合、インプラント（マルウェア）が存在している可能性。
  • 影響を受けるデバイスからの、または影響を受けるデバイスへの異常なネットワークトラフィックや接続。
  • 攻撃者が活動を隠蔽するためにログを削除したり、ユーザーを削除したりする兆候。

4. 推奨対策

4.1 本対策

  • Ciscoから提供されている最新のファームウェアアップデートを適用する。 修正済みリリースには、Cisco IOS XE 17.9.4a、17.6.6a、17.3.8a、および16.12.10a以降が含まれます。
  • 不審なユーザーアカウントはすべて取り消す。

4.2 暫定回避策（緩和策）

  • インターネットに接続されているシステムでは、HTTP/HTTPSサーバー機能（Web UI機能を含む）を無効化する。
    • HTTPサーバー使用時: no ip http server コマンドを適用
    • HTTPSサーバー使用時: no ip http secure-server コマンドを適用
  • Web UIへのアクセスを、信頼できるネットワークからのアクセスに限定するために、IPホワイトリストやアクセスリストを実装する。
  • ネットワーク侵入検知システム（NIDS）を導入し、異常なAPIコールや不正なユーザー作成イベントを監視する。
  • デバイスのユーザーアクティビティを監査する。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る