Trusted Design

CVE-2023-20273 の詳細

CVEの情報

説明:
A vulnerability in the web UI feature of Cisco IOS XE Software could allow an authenticated, remote attacker to inject commands with the privileges of root. This vulnerability is due to insufficient input validation. An attacker could exploit this vulnerability by sending crafted input to the web UI. A successful exploit could allow the attacker to inject commands to the underlying operating system with root privileges.

CVE更新日: 2023-10-25 18:17:23.017000

CVSSバージョン: 3.1

CVSSスコア: 7.2

KEVの情報

KEV更新日: 2023-10-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.896340000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-20273は、Cisco IOS XEソフトウェアのWeb UI機能における認証されたリモート攻撃者がroot権限でコマンドを注入できる脆弱性です。これは、主にCVE-2023-20198と組み合わせて悪用されることが確認されています。

1. 脆弱性の概要

Cisco IOS XEソフトウェアのWeb UI機能に存在する入力検証の不備により、認証されたリモート攻撃者がroot権限でコマンドを注入できる脆弱性です。この脆弱性はCWE-78（OSコマンドインジェクション）に分類されます。

1.1 影響

この脆弱性が悪用されると、攻撃者は基盤となるオペレーティングシステムにroot権限でコマンドを注入でき、影響を受けるネットワークインフラストラクチャデバイスを完全に制御できる可能性があります。これにより、デバイスの完全な乗っ取り、永続的なアクセス、および企業ネットワーク全体での潜在的な横方向の移動が可能になります。

1.2 深刻度

CVSS v3.1基本スコアは7.2（High）です。なお、CVE-2023-20273と連携して悪用されることが多いCVE-2023-20198には、CVSSスコア10.0（Critical）が割り当てられています。

2. 対象となる環境

Cisco IOS XEソフトウェアのWeb UI機能が有効になっており、インターネットまたは信頼できないネットワークに公開されているデバイスが影響を受けます。具体的には、HTTPまたはHTTPSサーバー機能が有効になっている物理デバイスおよび仮想デバイスが影響対象です。

2.1 影響を受けるOSバージョン

Cisco IOS XEソフトウェアバージョン16.1.1から17.12.1aが影響を受けます。CVE-2023-20198との組み合わせによる攻撃チェーンでは、バージョン16.0.xから17.9.xが言及されています。

2.2 影響を受ける設定

HTTPまたはHTTPSサーバー機能が有効になっている設定。

3. 影響を受けた時の兆候

以下のような兆候が確認される場合があります。

  • 攻撃者によって作成された特権レベル15のローカルユーザーアカウントの存在（例: "cisco_tac_admin"、"cisco_support"、"cisco_sys_manager"、または不明なローカルユーザー）。
  • ファイルシステムに攻撃者によって書き込まれたインプラントファイル（例: "BadCandy"というLuaベースのWebシェル）の存在。
  • Web UI機能を通じて攻撃者によって実行された異常または悪意のあるコマンド。
  • 影響を受けるデバイスからの、または影響を受けるデバイスへの異常なネットワークトラフィックまたは接続。
  • システムログに、説明のつかない、または新しく作成されたユーザーのログがあるか確認する。
  • show running-config | include ip http server|secure|activeコマンドでグローバル設定にip http serverまたはip http secure-serverコマンドが含まれているか確認することで、HTTPサーバー機能が有効になっているかを確認できます。
  • SnortルールID 3:50118, 3:62527, 3:62528, 3:62529によって悪用を検知できます。

4. 推奨対策

4.1 本対策

  • シスコが提供する修正済みソフトウェアリリースへアップグレードしてください。修正済みリリースには、17.9.4a、17.6.6a、17.3.8a、および16.12.10a（Cisco Catalyst 3650/3850のみ）などが含まれます。詳細については、Ciscoのセキュリティアドバイザリで特定の修正済みリリースおよびソフトウェアメンテナンスアップグレード（SMU）を確認してください。

4.2 暫定回避策（緩和策）

  • HTTP/HTTPSサーバー機能を無効にしてください。これは、no ip http serverおよび/またはno ip http secure-serverコマンドを使用して実行できます。
  • ローカルアクセス制御リスト（ACL）を使用して、すべての管理インターフェースへのアクセスを制限し、管理インターフェースを保護するセキュリティゲートウェイでポリシーを適用してください。
  • インターネットに面したシステムでは、HTTPまたはHTTPSサーバー機能が有効になっていないことを確認してください。

その他に解説すべき観点

  • 攻撃チェーンの一部: CVE-2023-20273は、多くの場合、CVE-2023-20198と組み合わせて攻撃チェーンとして悪用されます。CVE-2023-20198（CVSS 10.0）は、認証されていない攻撃者が初期アクセス権を獲得し、特権レベル15のユーザーアカウントを作成することを可能にします。その後、CVE-2023-20273が、この認証されたユーザーによってroot権限に昇格するために使用されます。
  • ゼロデイ攻撃: この脆弱性はゼロデイ脆弱性として積極的に悪用されており、2023年9月18日にはすでに攻撃が観測されていました。
  • CISAの既知の悪用された脆弱性カタログ: 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、このCVEを「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に追加しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る