各位

JPCERT-AT-2020-0043
JPCERT/CC
2020-11-18(新規)
2020-12-09(更新)

JPCERT/CC Alert 2020-11-18

Cisco Security Manager の複数の脆弱性に関する注意喚起

https://www.jpcert.or.jp/at/2020/at200043.html

I. 概要2020年11月16日 (現地時間)、Cisco は Cisco Security Manager の複数の脆弱性 (CVE-2020-27125、CVE-2020-27130、CVE-2020-27131) に関する情報を公開しました。本脆弱性が悪用された場合、遠隔の第三者が当該製品上から任意のファイルをダウンロードしたり、任意の Java コードを管理者権限で実行したりする可能性があります。

Cisco
Cisco Security Manager Static Credential Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-rce-8gjUz9fW
※CVE-2020-27125 のアドバイザリ

Cisco
Cisco Security Manager Path Traversal Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-path-trav-NgeRnqgR
※CVE-2020-27130 のアドバイザリ

Cisco
Cisco Security Manager Java Deserialization Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-java-rce-mWJEedcD
※CVE-2020-27131 のアドバイザリ

JPCERT/CC では、本脆弱性を実証するコードが公開されていることを確認しています。本脆弱性を悪用した攻撃に関する情報は確認できていませんが、今後、脆弱性を悪用する攻撃が行われる可能性があるため、対象となる製品を利用している場合には、アップデートの適用等を検討してください。詳細については、Cisco が提供する情報を参照してください。


II. 対象本脆弱性の影響を受けるバージョンは次のとおりです。

CVE-2020-27125、CVE-2020-27130
- Cisco Security Manager リリース 4.21 を含む前のバージョン
CVE-2020-27131
- Cisco Security Manager リリース 4.22 を含む前のバージョン


III. 対策Cisco より、本脆弱性を修正したバージョンが公開されています。十分なテストを実施の上、修正済みバージョンへ適用をご検討ください。なお、CVE-2020-27131に対する修正バージョンは、2020年11月18日時点で公開されていません。

** 更新: 2020年12月9日 ****************
2020年12月7日 (米国時間)、Cisco より、CVE-2020-27131 に対する修正バージョンが公開されました。本脆弱性を悪用した攻撃に関する情報は確認できていませんが、今後、脆弱性を悪用する攻撃が行われる可能性があるため、対象となる製品を利用している場合には、修正バージョンの適用を検討してください。詳細については、Ciscoが提供する情報を参照してください。
**************************************************


IV. 参考情報
Cisco
Cisco Security Manager Static Credential Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-rce-8gjUz9fW
※CVE-2020-27125 のアドバイザリ

Cisco
Cisco Security Manager Path Traversal Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-path-trav-NgeRnqgR
※CVE-2020-27130 のアドバイザリ

Cisco
Cisco Security Manager Java Deserialization Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-java-rce-mWJEedcD
※CVE-2020-27131 のアドバイザリ

Tenable
CVE-2020-27125, CVE-2020-27130, CVE-2020-27131: Pre-Authentication Vulnerabilities in Cisco Security Manager Disclosed
https://jp.tenable.com/blog/cve-2020-27125-cve-2020-27130-cve-2020-27131-vulnerabilities-in-cisco-security-manager


今回の件につきまして提供いただける情報がございましたら、JPCERT/CC までご連絡ください。

________
改訂履歴
2020-11-18 初版
2020-12-09 「III. 対策」の更新

==============================
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
早期警戒グループ
Email: ew-info@jpcert.or.jp