米当局、「Cisco IOS XE」に判明したゼロデイ脆弱性について注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、「Cisco IOS XEソフトウェア」に明らかとなった「CVE-2023-20198」について注意喚起を行った。

現地時間10月16日に「悪用が確認された脆弱性カタログ（KEV）」へ「CVE-2023-20198」を追加したもの。同リストに追加された脆弱性は、米行政機関において一定期間内に対応する義務が生じる。また追加された脆弱性そのものは広く悪用される可能性があるため、利用者は注意が必要となる。

「CVE-2023-20198」は、「Cisco IOS XE」のウェブユーザーインタフェースに明らかとなった権限昇格の脆弱性。リモートより認証なしに特権アカウントを作成し、システムを制御することが可能になる。

同日、Cisco Systemsがアドバイザリを公開したが、アップデートは提供されていない。CISAでは、同社が示した推奨事項を実施するとともに、インターネットなど信頼できない第三者がアクセスできる状態にウェブユーザーインタフェースが公開されていた場合は、侵害されていないか確認するよう求めている。

（Security NEXT - 2023/10/17 ）ツイート