Trusted DesignCVE-2024-20359 の詳細
CVEの情報
説明:
A vulnerability in a legacy capability that allowed for the preloading of VPN clients and plug-ins and that has been available in Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an authenticated, local attacker to execute arbitrary code with root-level privileges. Administrator-level privileges are required to exploit this vulnerability.
This vulnerability is due to improper validation of a file when it is read from system flash memory. An attacker could exploit this vulnerability by copying a crafted file to the disk0: file system of an affected device. A successful exploit could allow the attacker to execute arbitrary code on the affected device after the next reload of the device, which could alter system behavior. Because the injected code could persist across device reboots, Cisco has raised the Security Impact Rating (SIR) of this advisory from Medium to High.
CVE更新日: 2024-04-24 19:15:46.943000
CVSSバージョン: 3.1
CVSSスコア: 6.0
KEVの情報
KEV更新日: 2024-04-24
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.194340000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2024-20359について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2024-20359は、Cisco Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) ソフトウェアに存在する永続的なローカルコード実行の脆弱性です。 この脆弱性は、VPNクライアントとプラグインのプリロードを可能にするレガシー機能に存在します。
根本原因は、システムフラッシュメモリからファイルを読み込む際の不適切な検証にあります。 攻撃者は、細工されたファイルを脆弱なデバイスの
disk0:ファイルシステムにコピーすることで、この脆弱性を悪用できます。 悪用が成功すると、デバイスが再起動された後に、攻撃者は影響を受けるデバイス上でrootレベルの権限で任意のコードを実行できるようになります。この脆弱性は、2024年4月24日にCiscoによって公表され、Cisco Talosによって「ArcaneDoor」と名付けられた国家支援型とみられるスパイ活動キャンペーンで、CVE-2024-20353とともに悪用されました。
1.1 影響
この脆弱性が悪用された場合、システム侵害、データ漏洩、および再起動後も悪意のあるコードが持続する可能性があります。 攻撃者はデバイス上でroot権限で任意のコマンドを実行できるため、設定の変更、機密データの窃取、ネットワークの偵察、通信データのキャプチャと流出、およびラテラルムーブメント（横方向の移動）につながる可能性があります。
1.2 深刻度
CVE-2024-20359のCVSSv3スコアは6.0であり、「中（Medium）深刻度」と評価されています。 しかし、Ciscoは、注入されたコードがデバイスの再起動後も存続する可能性があるため、セキュリティ影響評価（SIR）を「中（Medium）」から「高（High）」に引き上げました。
この脆弱性は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の「既知の悪用済み脆弱性（Known Exploited Vulnerabilities - KEV）カタログ」にも追加されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は以下のCisco製品に影響を及ぼします。
具体的な影響を受けるバージョンとしては、FTDバージョン 7.0.6.2より前のバージョンと、ASAバージョン 9.16.4.57より前のバージョンが挙げられます。 詳細な影響を受けるソフトウェアリリースについては、Ciscoの公式アドバイザリを参照することが推奨されます。
2.2 影響を受ける設定
この脆弱性の悪用に特別な設定は必要ありません。 Cisco ASAおよびFTDソフトウェアの、VPNクライアントとプラグインのプリロードを可能にするレガシー機能が影響を受けます。 ただし、すべてのCisco Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) の構成が脆弱であるわけではないため、Ciscoのアドバイザリに従ってデバイスの構成を確認することが推奨されます。
3. 影響を受けた時の兆候
影響を受けた際の兆候としては、以下が挙げられます。
disk0:ファイルシステムにclient_bundle_install.zipという名前の新しいファイルや、その他の一般的ではない.zipファイルが存在する場合。Cisco Talosは、侵害をチェックするためのフォレンジック方法と、Line Dancerおよび/またはLine Runnerの存在を特定するための追加の推奨事項を提供しています。
4. 推奨対策
4.1 本対策
Ciscoは、この脆弱性に対処するソフトウェアアップデートをリリースしています。 影響を受けるすべてのCisco ASAおよびFTDユーザーは、修正済みのソフトウェアバージョンに速やかにアップグレードすることが強く推奨されます。
米国CISAは、連邦政府機関に対し、2024年5月1日までにベンダー提供の修正を適用するよう要求しました。 詳細については、Ciscoの公式セキュリティアドバイザリの「修正済みソフトウェア」セクションを確認してください。
4.2 暫定回避策（緩和策）
この脆弱性に対処する直接的な回避策は提供されていません。 ただし、予防的な対策として以下の実施が推奨されます。
他に解説すべき観点
参照したサイト