Cisco Systemsは米国時間3月17日、同社製品の数多くで使用されているソフトウェアに「Critical」(深刻)と分類されるセキュリティ脆弱性が発見されたと発表した。この脆弱性は、遠隔地から簡単なコマンドを発行することで容易に悪用できるという。
バージニア州ラングレーのCIA本部
提供:File photo
攻撃者はこの脆弱性を悪用することで、対象となるデバイスに遠隔地からアクセスし、制御を奪えるようになる。
Ciscoのセキュリティアドバイザリによると、この脆弱性の影響を受けるスイッチ製品は、300種類以上にのぼるという。
同アドバイザリによるとこの脆弱性は、同社が販売しているルータやスイッチにインストールされている「Cisco IOS」と「Cisco IOS XE」内に実装されているクラスタ管理プロトコル(CMP)のコード内で見つかったという。
攻撃者は、対象のデバイスに接続する際に、同ソフトウェアに搭載されているTelnetコマンドに実装されているCMP固有のオプションを不正なかたちで使用することで、この脆弱性を悪用できる。アドバイザリによると、このような問題が引き起こされるのは、CMP固有のオプションを必要としない通信でも同オプションが指定できるようになっており、またその実装が不正な形式のオプションを正しく処理できないためだという。
同社によるとこの脆弱性を回避するための「ワークアラウンドは存在していない」という。ただし、Telnetを無効化すればある種のリスクを「排除」できるという。
同社は、ソフトウェアのアップデートによってこの問題を解決すると述べているが、リリース時期については明らかにしていない。
この脆弱性は、3月7日にWikiLeaksによって公開された「Vault 7」というコード名の機密文書から、Cisco自身のセキュリティ研究者らが発見したものだ。
この機密文書は、サイバーインテリジェンスセンターから入手されたという。同センターは、秘密裏にサイバー攻撃を遂行する、米中央情報局(CIA)内の組織だ。
WikiLeaksによると、ファイル内で発見されたエクスプロイトコードを「誤って」リリースしてしまわないよう、不開示にするための大々的な編集作業を実施したという。しかし、監視対象の名前や電子メールアドレス、外部IPアドレスを含む機密情報が欠けているという批判の声が上がっている。
WikiLeaksは短い声明のなかで、CIAが同脆弱性を秘密にしていたため、「おびただしい数のインターネットインフラがサイバー攻撃に対して脆弱な状態で放置された」と述べるとともに、これは「Obama政権が2014年に表明した、まん延している脆弱性を秘密にしておかないという確約に明らかに背いている」としていた。
Ciscoの広報担当者は「WikiLeaksのVault 7のおかげで、Ciscoのセキュリティチームはエクスプロイトコードがリリースされる前に脆弱性を発見できた。Ciscoは(セキュリティに関して)米製造企業のなかで最も積極的に行動するとともに、セキュリティチームは先週時点でWikiLeaksとのコンタクトを開始している」と述べている。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。