Cisco IOSの重大な脆弱性、WikiLeaks情報で発覚 数百種類のスイッチに影響

[鈴木聖子，ITmedia]

　告発サイトのWikiLeaksが暴露した極秘情報を巡り、米Ciscoのスイッチなど何百種類もの製品に搭載されている「Cisco IOS」と「Cisco IOS XE Software」に重大な脆弱性が発覚した。Ciscoは3月17日に公開したアドバイザリーで対応を説明し、ソフトウェアアップデートで対処する方針を明らかにした。

　この問題に関して、米中央情報局（CIA）による監視活動の実態を示すとされる極秘文書「Vault 7」をWikiLeaksが3月に公開していた。Apple iOSやGoogleのAndroid、MicrosoftのWindowsなどもハッキングの対象だったと伝えられている。

Ciscoが3月17日に公開したアドバイザリー

　Ciscoによると、Vault 7に関連した文書を調査している過程でIOSとIOS XE Softwareの脆弱性が発覚した。脆弱性は「Cluster Management Protocol」（CMP）の処理コードに存在する。

　悪用された場合、攻撃者が脆弱性のあるデバイスとの間でTelnetセッションを確立し、細工を施したCMP指定Telnetコマンドを送り付けることによって、任意のコードを実行し、デバイスを完全に制御できてしまう可能性がある。TelnetのCMP指定オプションはデフォルトで有効になっているという。

　現時点でこの脆弱性の緩和策は存在しない。Ciscoはソフトウェアアップデートを公開して脆弱性に対処する予定だが、アップデート公開時期のメドは明らかにしていない。