Cisco、セキュリティアドバイザリ7件を公開 - 「Cisco Secure Client」などの脆弱性に対応
Cisco Systemsは、現地時間3月6日にセキュリティアドバイザリ7件を公開した。あわせて8件の脆弱性が明らかとなっている。一部製品については、サポートが終了しているためアップデートの提供予定はないという。
今回公開されたアドバイザリの重要度を見ると、4段階中もっとも高い「クリティカル（Critical）」とされるものはなかった。2件については上から2番目にあたる「高（High）」とレーティングされている。
具体的に見ると、「Cisco Secure Client」のSAML認証プロセスにおいて、CRLFインジェクション攻撃が可能となる「CVE-2024-20337」が明らかとなった。Windows版、macOS版、Linux版のいずれも影響を受ける。
同脆弱性を悪用すると、リモートよりブラウザ上で任意のスクリプトを実行したり、VPNセッションを確立できる有効なSAMLトークンをはじめ、ブラウザベースの機密情報を窃取することが可能だという。
またLinux向けの「Cisco Secure Client」では、「ISE Posture Module」において権限の昇格が可能となる「CVE-2024-20338」が判明した。同社では脆弱性が修正されているバージョンへアップデートするよう求めている。
（Security NEXT - 2024/03/07 ）
ツイート
関連リンク
- Cisco：Cisco Secure Client for Linux with ISE Posture Module Privilege Escalation Vulnerability
- Cisco：Cisco Secure Client Carriage Return Line Feed Injection Vulnerability
- Cisco：Cisco Small Business 100, 300, and 500 Series Wireless Access Points Command Injection and Buffer Overflow Vulnerabilities
- Cisco：Cisco Duo Authentication for Windows Logon and RDP Authentication Bypass Vulnerability
- Cisco：Cisco Duo Authentication for Windows Logon and RDP Information Disclosure Vulnerability
- Cisco：Cisco AppDynamics Controller Cross-Site Scripting Vulnerability
- Cisco：Cisco AppDynamics Controller Path Traversal Vulnerability
- シスコシステムズ
PR
関連記事
「Monsta FTP」に深刻な脆弱性 - 8月のアップデートで修正済み
米当局、「FortiWeb」の脆弱性悪用に注意喚起
「FortiWeb」に悪用済み脆弱性が判明 - 今月2件目
「MS Edge」にアップデート - ゼロデイ脆弱性を解消
メール誤送信で美術研究所研究生のメアド流出 - 大阪市立美術館
個人情報含むファイルを業務チャットで誤送信 - トライトグループ会社
ファイル管理ツール「File Browser」に脆弱性 - 依存ライブラリに起因
空部屋ポストに未配達の郵便物か、住民から連絡 - 徳島
クラウドサービスが侵害、顧客従業員情報が流出か - ITサービス事業者
フィッシング契機に個人情報流出判明、犯行声明も - フォトクリエイト
