Cisco ASAシリーズに深刻な脆弱性、CVSS値は最大

危険度はCVSS最大値の10.0に達する。UDPパケット1つで悪用できてしまう恐れもあり、500番UDPポートは既にトラフィックの増大が見られるという。

[鈴木聖子，ITmedia]

　米Ciscoは2月10日、セキュリティ製品「Adaptive Security Appliance」（ASA）に見つかった極めて深刻な脆弱性を修正するソフトウェアアップデートを公開した。危険度は共通脆弱性評価システム（CVSS）のベーススコアで最大値の10.0と評価され、悪用される危険が極めて大きいとして、米セキュリティ機関のCERT/CCやSANS Internet Storm Centerもできるだけ早くアップデートを適用するよう呼び掛けている。

評価値最大のクリティカルな脆弱性

　脆弱性はASAでVPN接続に使われるInternet Key Exchange（IKE）バージョン1とバージョン2に存在する。悪用された場合、細工を施したUDPパケットを送り付けることによってリモートで任意のコードを実行され、システムを完全に制御されたり、システムをリロードされたりする可能性がある。

　SANSによれば、この脆弱性はUDPパケット1つで悪用できてしまう恐れもあり、極めて危険性が高い。攻撃には500番または4500番のUDPポートが使われる公算が大きく、500番UDPポートは既にトラフィックの増大が見られるという。

パケット観測の状況（SANSより）

　影響を受けるのはASA 5500シリーズ、ASA 5500-Xシリーズ、Catalyst 6500シリーズのスイッチと7600シリーズのルータに搭載されたASA Services Module、ASA 1000V Cloud Firewall、Adaptive Security Virtual Appliance（ASAv）、Firepower 9300 ASA Security Module、ISA 3000 Industrial Security Applianceの各製品。回避策は存在せず、Ciscoが公開したソフトウェアアップデートをインストールして脆弱性を修正する必要がある。

ASA 5500-Xシリーズ