Trusted Design

CVE-2024-20353 の詳細

CVEの情報

説明:
A vulnerability in the management and VPN web servers for Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to cause the device to reload unexpectedly, resulting in a denial of service (DoS) condition. This vulnerability is due to incomplete error checking when parsing an HTTP header. An attacker could exploit this vulnerability by sending a crafted HTTP request to a targeted web server on a device. A successful exploit could allow the attacker to cause a DoS condition when the device reloads.

CVE更新日: 2024-04-24 19:15:46.723000

CVSSバージョン: 3.1

CVSSスコア: 8.6

KEVの情報

KEV更新日: 2024-04-24

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.706860000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-20353に関する調査結果を以下に解説します。

1. 脆弱性の概要

Cisco Adaptive Security Appliance (ASA) Software および Cisco Firepower Threat Defense (FTD) Software の管理および VPN Web サーバーに存在する脆弱性です。認証されていないリモートの攻撃者が、細工されたHTTPリクエストをターゲットデバイスのWebサーバーに送信することで、予期せぬデバイスのリロードを引き起こし、サービス運用妨害（DoS）状態に陥らせる可能性があります。この脆弱性は、HTTPヘッダーの解析時の不完全なエラーチェックに起因します。

この脆弱性は、国家支援型アクターUAT4356（MicrosoftではSTORM-1849）による「ArcaneDoor」と呼ばれるサイバースパイキャンペーンにおいて、CVE-2024-20359と共に積極的に悪用されていることが確認されています。

1.1 影響

  • サービス運用妨害 (DoS): 攻撃によりデバイスが予期せずリロードされ、サービス停止状態に陥る可能性があります。
  • マルウェアの展開とスパイ活動: 「ArcaneDoor」キャンペーンにおいては、本脆弱性（および関連するCVE-2024-20359）が悪用され、Line DancerとLine Runnerという2種類のバックドアが展開されました。これらのバックドアは、設定変更、偵察、ネットワークトラフィックのキャプチャと流出、場合によってはラテラルムーブメントといったスパイ活動に使用されています。

1.2 深刻度

  • CVSS v3.1基本評価値: 8.6 (High)
  • CWE: CWE-835: Infinite Loop（無限ループ）としてNVDで評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Cisco Adaptive Security Appliance (ASA) Software および Cisco Firepower Threat Defense (FTD) Software が対象です。

具体的には以下のバージョンが影響を受けます。

  • FTDのバージョンが7.0.6.2より前。
  • ASAのバージョンが9.16.4.57より前。

Cisco Firepower Management Center (FMC) Software はこの脆弱性の影響を受けません。

2.2 影響を受ける設定

管理およびVPN Webサーバーの機能が影響を受けます。 SSLリスンソケットを有効にする可能性のある機能が潜在的に脆弱です。例えば、管理WebサーバーアクセスやREST APIなどが該当し、これらは設定された http コマンド範囲内のIPアドレスからのみ脆弱性を持つ可能性があります。

3. 影響を受けた時の兆候

以下のような兆候が考えられます。

  • デバイスの予期しないリロード。
  • 繰り返しのサービスダウンタイムを示すログ。
  • 不正な形式のHTTPリクエストを含むネットワークトラフィック。
  • システムログにおける、スケジュールされていないリブート、許可されていない設定変更、不審な認証情報の動き。
  • 攻撃者はログ記録の無効化、リモートアクセスの提供、キャプチャされたパケットの抽出、認証・認可・アカウンティング (AAA) 設定の変更などを実行する可能性があります。
  • 「ArcaneDoor」キャンペーンに関連する特定のIndicators of Compromise (IoC) やMITRE TTPがCisco Talosから提供されており、Line DancerやLine Runnerといったバックドアの存在を特定するためのフォレンジック手法も利用可能です。

4. 推奨対策

4.1 本対策

Ciscoから提供されている修正済みソフトウェアバージョンへのアップグレードを強く推奨します。 Ciscoはこの脆弱性に対処する無償のソフトウェアアップデートをリリースしています。通常のソフトウェアアップデートが含まれるサービス契約をお持ちのお客様は、通常のアップデートチャネルからセキュリティ修正を取得する必要があります。

4.2 暫定回避策（緩和策）

Ciscoは、この脆弱性に対する回避策はないと公式に発表しています。 ただし、「ArcaneDoor」キャンペーン全体に対する一般的な緩和策として、以下の点が推奨されています。

  • ネットワークテレメトリやインテリジェンスパートナーからの情報を一元化された安全な場所にログとして記録すること。
  • 強力な多要素認証（MFA）を設定すること。
  • VPN接続にSecure Socket Layer/Transport Layer Security (SSL/TLS) ではなくInternet Protocol Security (IPsec) を利用することを検討すること。
  • ASAデバイスのSSLコンポーネントへのパブリックアクセスをブロックするよう、すべてのサービスを設定することを検討すること。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る