Cisco IOxアプリケーションホスティング環境の脆弱性

ダウンロード オプション

  • PDF     (408.1 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (84.3 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (78.9 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2022 年 5 月 12 日
Document ID:SA217780

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

Medium

Medium

アドバイザリーID : cisco-sa-iox-yuXQ6hFj
初公開日 : 2022-04-13 16:00
最終更新日 : 2022-05-12 15:50
バージョン 1.1 : Final
CVSSスコア : 7.5
回避策 : No workarounds available
 

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

複数のシスコプラットフォーム上のCisco IOxアプリケーションホスティング環境における複数の脆弱性により、攻撃者が基盤となるホストオペレーティングシステムに任意のコマンドを注入したり、基盤となるホストオペレーティングシステムで任意のコードを実行したり、認証されずにアプリケーションをインストールしたり、影響を受けるソフトウェアのユーザに対してクロスサイトスクリプティング(XSS)攻撃を実行したりする可能性があります。

これらの脆弱性の詳細については本アドバイザリの「詳細情報」セクションを参照してください。

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。これらの脆弱性に対処する回避策はありません。

このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iox-yuXQ6hFj

このアドバイザリは、2022 年 4 月に公開された Cisco IOS ソフトウェアおよび IOS XE ソフトウェアリリースのセキュリティ アドバイザリ バンドルの一部です。アドバイザリの完全なリストとそのリンクについては、『Cisco Event Response: April 2022 Semiannual Cisco IOS and IOS XE Software Security Advisory Bundled Publication Publication』を参照してください。

該当製品

脆弱性のある製品

公開時点で、脆弱性のあるソフトウェアリリースを実行している次のシスコ製品が、これらの脆弱性の1つに該当していました。

  • 800 シリーズ産業用サービス統合型ルータ（産業用 ISR）
  • 800 シリーズ サービス統合型ルータ（ISR）
  • 1000シリーズConnected Gridルータ(CGR1000)コンピューティングモジュール
  • IC3000産業用コンピューティングゲートウェイ
  • 産業用イーサネット（IE）4000 シリーズ スイッチ
  • IOS XEベースのデバイスでIOxが設定されている
  • IR510 WPAN 産業用ルータ

公開時点で脆弱性が確認されている Cisco ソフトウェアのリリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。最も完全で最新の情報については、このアドバイザリの上部にあるバグ ID の詳細セクションを参照してください。

脆弱性を含んでいないことが確認された製品

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、これらの脆弱性の影響を受けることが分かっています。

シスコは、これらの脆弱性が次のシスコ製品に影響を与えないことを確認しました。

  • IOS XR ソフトウェア
  • Meraki 製品
  • NX-OS ソフトウェア

詳細

これらの脆弱性は依存関係にはなく、いずれかの脆弱性をエクスプロイトするために別の脆弱性をエクスプロイトする必要はありません。さらに、いずれかの脆弱性の影響を受けるソフトウェアリリースであっても、他の脆弱性の影響は受けない場合があります。

脆弱性の詳細は以下のとおりです。

CVE-2022-20718:Cisco IOxアプリケーションホスティング環境におけるパラメータインジェクションの脆弱性

複数のシスコプラットフォームのCisco IOxアプリケーションホスティング環境における脆弱性により、認証されたリモート攻撃者がCisco IOx APIを使用してパラメータインジェクションを実行する可能性があります。

この脆弱性は、アプリケーションのアクティベーションに渡されるパラメータのサニタイズが不完全であることに起因します。攻撃者は、巧妙に細工されたアクティベーションペイロードファイルを使用してCisco IOxアプリケーションホスティング環境にアプリケーションを展開し、アクティブ化することにより、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は基盤となるホストオペレーティングシステムでrootとして任意のコードを実行する可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

バグID:CSCvy35913
CVE ID：CVE-2022-20718
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：5.5
CVSSベクトル：CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:N

CVE-2022-20719:Cisco IOxアプリケーションホスティング環境におけるパラメータインジェクションの脆弱性

複数のシスコプラットフォームのCisco IOxアプリケーションホスティング環境における脆弱性により、認証されたリモート攻撃者がCisco IOx APIを使用してパラメータインジェクションを実行する可能性があります。

この脆弱性は、IOxパッケージ記述子の一部として渡されるパラメータのサニタイズが不完全であることに起因します。攻撃者は、IOxパッケージ記述子ファイルを巧妙に細工し、Cisco IOxアプリケーションホスティング環境でアプリケーションを構築および展開することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は基盤となるホストオペレーティングシステムでrootとして任意のコードを実行する可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

バグID:CSCvy86583
CVE ID：CVE-2022-20719
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：5.5
CVSSベクトル：CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:N

CVE-2022-20720:Cisco IOxアプリケーションホスティング環境のパストラバーサルの脆弱性

複数のシスコプラットフォームのCisco IOxアプリケーションホスティング環境における脆弱性により、認証されたリモート攻撃者が、基盤となるホストオペレーティングシステム上で任意のデータの読み取りまたは書き込みを行う可能性があります。

この脆弱性は、要求されたデータに対して実際のパスチェックが実行されないことに起因しています。攻撃者は、展開されたアプリケーション内にシンボリックリンクを作成し、APIを使用してデータを要求することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は基盤となるホストのオペレーティングシステムでrootとして任意のコードを読み取りまたは実行できる可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

バグID:CSCvy30957
CVE ID：CVE-2022-20720
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：5.5
CVSSベクトル：CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:N

CVE-2022-20723:Cisco IOxアプリケーションホスティング環境における任意のコード実行の脆弱性

複数のシスコプラットフォームのCisco IOxアプリケーションホスティング環境における脆弱性により、認証されたリモートの攻撃者が、基盤となるホストオペレーティングシステムで任意のコードを実行する可能性があります。

この脆弱性は、アプリケーションのアクティベーションに渡されるパラメータのサニタイズが不完全であることに起因します。攻撃者は、巧妙に細工されたアクティベーションペイロードファイルを使用してCisco IOxアプリケーションホスティング環境にアプリケーションを展開し、アクティブ化することにより、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は基盤となるホストオペレーティングシステムでrootとして任意のコードを実行する可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

バグID:CSCvy86603
CVE ID：CVE-2022-20723
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：5.5
CVSSベクトル：CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:N

CVE-2022-20725:Cisco IOx Application Hosting Environmentのクロスサイトスクリプティングの脆弱性

Cisco IOxアプリケーションホスティング環境のWebベースのLocal Managerインターフェイスにおける脆弱性により、認証されたリモートの攻撃者が、該当デバイスのWebベースのLocal Managerインターフェイスのユーザに対してストアドクロスサイトスクリプティング(XSS)攻撃を実行する可能性があります。攻撃者は有効なローカルマネージャクレデンシャルを持っている必要があります。

この脆弱性は、WebベースのLocal Managerインターフェイスによるユーザ入力の検証が不十分であることに起因します。攻撃者は、システム設定タブに悪意のあるコードを挿入することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は影響を受けるWebインターフェイスのコンテキストで任意のスクリプトコードを実行したり、ブラウザの機密情報にアクセスしたりできる可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

バグID:CSCvy86608
CVE ID：CVE-2022-20725
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：5.5
CVSSベクトル：CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

CVE-2022-20724:Cisco IOx Application Hosting Environmentのユーザなりすましの脆弱性

複数のシスコプラットフォームのCisco IOxアプリケーションホスティング環境における脆弱性により、認証されていないリモートの攻撃者が認証をバイパスし、別の認証されたユーザセッションになりすますことができます。

この脆弱性は、トークンの割り当てに関する競合状態に起因します。攻撃者は、アップロードAPIへのコールを継続的に試行することで、この脆弱性を不正利用する可能性があります。コールがアプリケーションを配備する権限のある管理者と同時に発生した場合、攻撃者はトークンをレースし、認証をバイパスする機能を与えられる可能性があります。エクスプロイトに成功すると、攻撃者は認証をバイパスできる可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

バグID:CSCvy86604
CVE ID：CVE-2022-20724
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：5.3
CVSSベクトル：CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N

CVE-2022-20726： Cisco IOx Application Hosting EnvironmentのDoS脆弱性

Cisco 809 Industrial Integrated Services Router(Industrial ISR)、Cisco 829 Industrial ISR、Cisco CGR 1000コンピューティングモジュール、およびCisco IC3000 Industrial Compute GatewayのCisco IOxアプリケーションホスティング環境の脆弱性により、認証されていないリモートの攻撃者が該当デバイスにサービス妨害(DoS)状態を引き起こす可能性があります。

この脆弱性は、ソケット操作のエラー処理が不十分であることに起因します。攻撃者は、該当デバイスのIOx Webサーバに一定レートのTCPトラフィックを送信することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者はIOx Webサーバに要求の処理を停止させ、DoS状態を引き起こす可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

バグID:CSCvx27640
CVE ID：CVE-2022-20726
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：5.3
CVSS ベクトル：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

CVE-2022-20677:Cisco IOS XEソフトウェアの権限昇格の脆弱性

Cisco IOS XEソフトウェアのCisco IOxアプリケーションホスティング環境における脆弱性により、認証されたローカルの攻撃者が、該当デバイスで特権レベル15からrootに昇格する可能性があります。

この脆弱性は、Cisco IOxアプリケーションホスティング環境の不完全なファイル保護に起因します。攻撃者は、巧妙に細工されたペイロードでファイルシステムを変更することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は root として任意のコマンドを実行する可能性があります。

バグID:CSCvy30903 CSCvy16608
CVE ID：CVE-2022-20677
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：5.1
CVSSベクトル：CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:N

CVE-2022-20727:Cisco IOxアプリケーションホスティング環境の権限昇格

複数のシスコプラットフォームのCisco IOxアプリケーションホスティング環境における脆弱性により、認証されたローカルの攻撃者が昇格された特権を取得する可能性があります。

この脆弱性は、Cisco IOxアプリケーションをロードする際の入力検証が不適切であることに起因します。攻撃者は、Cisco IOxアプリケーションのロード中にアプリケーションコンテンツを変更することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者はルートユーザと同等の権限を取得する可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

バグID:CSCvy35914
CVE ID：CVE-2022-20727
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：5.1
CVSSベクトル：CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:N

CVE-2022-20721:Cisco IOxアプリケーションホスティング環境における任意のファイル読み取りの脆弱性

複数のシスコプラットフォームのCisco IOxアプリケーションホスティング環境における脆弱性により、認証されたリモート攻撃者が基盤となるオペレーティングシステムから任意のファイルを読み取る可能性があります。

この脆弱性は、Cisco IOx API内のコマンド引数のパス検証が不十分であることに起因します。攻撃者は、APIを使用して巧妙に細工されたコマンド要求を送信することにより、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者はホストデバイスのファイルシステムに存在する任意のファイルの内容を読み取る可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

バグID:CSCvy86598
CVE ID：CVE-2022-20721
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：4.9
CVSSベクトル：CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

CVE-2022-20722:Cisco IOxアプリケーションホスティング環境のパストラバーサルの脆弱性

複数のシスコプラットフォームのCisco IOxアプリケーションホスティング環境における脆弱性により、認証されたリモートの攻撃者が、基盤となるホストファイルシステムから任意のファイルを読み取る可能性があります。

この脆弱性は、Cisco IOx API内のコマンド引数のパス検証が不十分であることに起因します。攻撃者は、APIを使用して巧妙に細工されたコマンド要求を送信することにより、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は基盤となるホストファイルシステムにある任意のファイルの内容を読み取る可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

バグID:CSCvy86602
CVE ID：CVE-2022-20722
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：4.9
CVSSベクトル：CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

回避策

これらの脆弱性に対処する回避策はありません。ただし、緩和策があります。

Cisco IOxアプリケーションホスティング環境を使用したくない場合は、no iox設定コマンドを使用して、デバイスでIOxを永続的に無効にすることができます。

この緩和策は導入されており、テスト環境では実証済みですが、お客様は、ご使用の環境および使用条件において適用性と有効性を判断する必要があります。また、導入されている回避策または緩和策が、お客様固有の導入シナリオおよび制限に基づいて、ネットワークの機能やパフォーマンスに悪影響を及ぼす可能性があることに注意してください。回避策や緩和策は、ご使用の環境への適用性と環境への影響を評価した後で導入してください。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する際には、シスコ セキュリティ アドバイザリ ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性とアップグレード ソリューション一式を確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

修正済みリリース

発行時点では、次の表に記載されているリリース情報は正確でした。最も完全で最新の情報については、このアドバイザリの上部にあるバグ ID の詳細セクションを参照してください。

シスコ プラットフォーム First Fixed Release（修正された最初のリリース）
800 シリーズ産業用 ISR Cisco IOSソフトウェアリリース15.9(3)M5以降。
800 シリーズの ISR 修正なし。Cisco 800シリーズISRのIOxはサポートが終了しています。
CGR1000コンピューティングモジュール CGR1000コンピューティングモジュール1.15.0.1用IOxイメージ
IC3000産業用コンピューティングゲートウェイ 産業用コンピューティング ゲートウェイ ソフトウェア リリース 1.4.1
IE 4000 シリーズ スイッチ 修正済みではなく、Cisco IE 4000シリーズスイッチのIOxはサポートが終了しています。
IOS XEベースのデバイスでIOxが設定されている Cisco IOS XEソフトウェアリリース：
  • 16.12(7)(CSCvy16608以外はすべて16.12(6)で解決)
  • 17.3(5)
  • 17.6(2)
  • 17.7(1) 以降
詳細については、次の「Cisco IOSおよびIOS XEソフトウェアチェッカー」セクションを参照してください。
IR510 WPAN 産業用ルータ IR510オペレーティングシステム6.5.9

Product Security Incident Response Team（PSIRT; プロダクト セキュリティ インシデント レスポンス チーム）は、このアドバイザリに記載されている該当するリリース情報と修正されたリリース情報のみを検証します。

Cisco IOS および IOS XE ソフトウェア

Cisco IOS ソフトウェアおよび IOS XE ソフトウェアの脆弱性による侵害の可能性を判断できるよう、シスコでは Cisco Software Checker を提供しています。このツールにより、特定のソフトウェアリリースに該当するシスコ セキュリティ アドバイザリ、および各アドバイザリで説明されている脆弱性が修正された最初のリリース（「First Fixed」）を特定できます。また該当する場合、そのリリースに関するすべてのアドバイザリの脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。

お客様は、Cisco Software Checker を使用して次の方法でアドバイザリを検索できます。

  • ソフトウェアと 1 つ以上のリリースを選択します。
  • 特定のリリースのリストを含む .txt ファイルをアップロードする
  • show version コマンドの出力を入力する

検索を開始した後で、すべてのシスコ セキュリティ アドバイザリ、特定のアドバイザリ、または最新の公開資料に記載されているすべてのアドバイザリが含まれるように検索をカスタマイズできます。

また、次の形式を使用して、Cisco IOS または IOS XE ソフトウェアリリース（15.1(4)M2 や 3.13.8S など）を入力することで、そのリリースがシスコ セキュリティ アドバイザリの影響を受けているかどうかを判断できます。

デフォルトでは、Cisco Software Checker の結果には、Security Impact Rating（SIR）が「重大」または「高」の脆弱性だけが含まれます。「中間」の SIR 脆弱性の結果を含めるには、Cisco.com にある Cisco Software Checker を使用して、検索をカスタマイズするときに [影響の評価（Impact Rating）] の下にあるドロップダウンリストの [中間（Medium）] チェックボックスをオンにします。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

出典

シスコは、CVE-2022-20718、CVE-2022-20719、CVE-2022-20720、CVE-2022-20721、CVE-2022-20722、CVE-2022-20723、CVE-2022-20724、CVE-2022-20725の脆弱性を報告していただいたOrange GroupのCyrille CHATRASに感謝いたします。

CVE-2022-20718およびCVE-2022-20720：これらの脆弱性は、Cisco Advanced Security Initiatives Group(ASIG)のX.B.による内部セキュリティテストでも発見されました。

CVE-2022-20677：この脆弱性は、シスコ内部でセキュリティテストを実施中、Cisco ASIG の X.B. によって発見されました。

URL

改訂履歴

バージョン 説明 セクション ステータス 日付
1.1 Cisco IOS XEデバイスの修正済みソフトウェアから個々の製品IDを削除。IR510 WPAN産業用ルータの修正済みリリース情報を更新。 修正済みソフトウェア Final 2022 年 5 月 12 日
1.0 初回公開リリース — Final 2022年 4 月 13 日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。