またしてもCiscoのゼロデイ、またしても対応に追われる

Ciscoの管理者たちは、今月2度目の緊急事態に直面する前に、ほとんど息をつく暇もなかった。CiscoのSecure Email Gateway製品における別の活発に悪用されている脆弱性への対応にチームが追われたわずか数日後、同社は新たなゼロデイを公開した。今回はIdentity Services Engine (ISE) におけるもので、脆弱性が受け得る最高の深刻度評価、すなわちCVSSスコア満点の10.0が付されている。

CVSSスコア10は、その欠陥が脆弱性を危険にするあらゆる条件を満たしていることを意味する。リモートから悪用可能で、特別な権限もユーザーの操作も必要とせず、影響を受けるシステムの完全な侵害につながる可能性がある。今回の場合、この欠陥は認証バイパスであり、これを悪用した攻撃者はログイン要件を完全に回避し、ISEが保護するはずのシステムへのアクセスを取得できる可能性がある。

ISEにおける認証バイパスが重大である理由

Cisco Identity Services Engineはニッチな製品ではない。企業、大学、病院、政府機関が、誰が、そして何がネットワークに接続できるかを判断するために使用するネットワークアクセス制御プラットフォームである。ISEはデバイスとユーザーの身元を確認してからアクセスを許可し、セキュリティポリシーを適用し、組織全体の他のセキュリティツールと統合されることが多い。

身元を検証する責任を負うシステム自体がバイパスされ得る場合、その影響は外へ波及する。ISEの認証制御を突破した攻撃者は、正規の認証済みユーザーに見えながら、ネットワーク内を横移動し、機密システムに到達し、あるいはデータを窃取する可能性がある。まさにこれが、この欠陥の満点の深刻度スコアが単なる技術的な珍事ではない理由である。これは、不正ユーザーを締め出すためにISEに依存している組織に対する、現実的かつ差し迫ったリスクを反映している。

Ciscoは、この脆弱性がすでに現実の攻撃で悪用されていることを確認しており、事態の深刻さは大幅に高まっている。研究者が犯罪者より先に発見する理論上のバグとは異なり、これは現在、実際の標的に対して活発に使用されており、防御者にはより多くのネットワークが侵害される前に修正を適用すべき狭く緊急の猶予しかない。

注視すべきパターン

これは孤立した事件ではない。ISEの欠陥は、同社のメールセキュリティ製品に影響を与える別の活発に悪用されているCiscoゼロデイの直後に登場した。つまりCiscoの顧客は、短期間に2つの深刻で悪用されている脆弱性に対応しなければならなかった。すでに人手が足りないITおよびセキュリティチームにとって、広く展開されたエンタープライズ製品における連続するゼロデイは、連続する緊急パッチサイクル、リスク評価、インシデント対応レビューを意味する。

Ciscoインフラが繰り返し標的にされていることは、より広い傾向も浮き彫りにしている。攻撃者は個々のエンドポイントだけでなく、エンタープライズ環境の中心に位置するネットワーク機器やIDシステムにますます焦点を当てている。ISEのような製品における単一の欠陥は、何千もの組織に同時に影響を与え得るため、最小の労力で最大の影響を求める高度な脅威アクターにとって、これらの脆弱性は特に魅力的である。

これがあなたにとって意味するもの

Cisco ISEを使用している組織のITまたはセキュリティ部門で働いているなら、これはパッチのバックログに残しておくべき脆弱性ではない。満点の深刻度スコアと確認された活発な悪用を踏まえ、これは routine なメンテナンスではなく緊急レベルの修正として扱うべきである。影響を受けるバージョンについてCiscoのアドバイザリを確認し、あなたの展開で利用可能になり次第すぐにパッチを適用し、パッチ適用前にすでに欠陥が悪用された可能性を示す不審な認証活動の兆候がないかログを確認すること。

一般ユーザーやリモートワーカーにとって、この話は、職場、学校、公共Wi-Fiのいずれであれ、あなたが接続するネットワークのセキュリティが、あなたがほとんど見たり考えたりしないインフラに依存していることを思い出させる。雇用主のISE展開を自分でパッチ適用することはできないが、トラフィックを暗号化し、信頼するネットワークに注意することで、自身の露出を減らすことはできる。Macで作業していて自分の接続に保護層を追加したいなら、MacでのVPN設定ガイドで利用可能なオプションを順を追って説明している。

実行可能な要点

  • Cisco ISEを運用している組織は、満点のCVSS 10評価と確認された活発な悪用を踏まえ、この脆弱性へのパッチ適用を直ちに優先すべきである。
  • ITチームは、パッチ適用前に欠陥が悪用された可能性を示す異常がないか認証ログを確認すべきである。
  • セキュリティチームは、Ciscoが短期間に複数の活発に悪用されているゼロデイを公開したことを考慮し、露出したCiscoインフラのより広範な見直しを行うべきである。
  • 個人ユーザーはエンタープライズシステムにパッチを適用することはできないが、個人デバイスでのVPN使用を含む個人のセキュリティ慣行を強化することで、ネットワークレベルで何が起きても保護層を追加できる。

これらの公開のペースは、攻撃者が企業の依存するIDおよびアクセスシステムの弱点を積極的に探している明確なシグナルである。ベンダーのアドバイザリを最新の状態に保ち、パッチを迅速に適用することは、利用可能な最もシンプルで最も効果的な防御の一つであり続けている。