Cisco Merakiローカルステータスページ設定の強化

Cisco Merakiデバイスには、ローカルステータスページ(LSP)機能が実装されています。これはWebベースのインターフェイスで、主に管理者がデバイスをCisco Merakiダッシュボードに接続するために必要な設定を適用したり、ローカルのトラブルシューティングを実行したり、デバイスのステータスを監視したりできるようにすることを目的としています。

LSPには認証が必要です。工場出荷時のデフォルト設定で設定されている場合、LSPのクレデンシャルは、ユーザ名としてのデバイスハードウェアのシリアル番号と空のパスワードで構成されます。攻撃者は、デフォルトクレデンシャルのエントロピーが低いことや、LSP認証フォームに対するブルートフォース攻撃を実行しようとするログイン試行を制限するメカニズムがないことにメリットを得ることができます。成功した場合、攻撃者はLSPへの不正アクセスを取得し、それを使用して機密の設定オプションを変更したり、サービス拒否(DoS)状態を引き起こしたり、低特権の情報を取得したりする可能性があります。

LSPはデフォルトで有効になっています。

注：ハードウェアのシリアル番号はデバイスの表面に表示され、出荷パッケージに印刷されています。

このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-meraki-lsp-7xySn6pj

Cisco Merakiデバイスは、クラウド管理インターフェイス（Merakiダッシュボード）を介して完全に管理できるように設計されています。 また、Cisco Merakiデバイスには、デバイス上でローカルにホストされるWeb管理インターフェイスであるLSP機能が含まれています。LSP機能は通常、初期設定で使用され、デバイスをCisco Merakiダッシュボードに接続し、デバイスのステータスと使用率を監視し、ローカルでのトラブルシューティングを実行するために必要な設定オプションを適用します。

この情報アドバイザリの対象読者は、工場出荷時のデフォルト設定でLSPを導入しているか、デバイスでこの機能が使用できることを知らないCisco Merakiのお客様です。

Cisco Merakiでは、工場出荷時のデフォルトのクレデンシャルを使用してLSP機能を設定している管理者に対して、設定を確認し、工場出荷時のデフォルトのパスワードを強力なパスワードに変更することを強く推奨しています。 

LSPの工場出荷時のデフォルトクレデンシャルを変更するには、次の手順を実行します。

1. Cisco Merakiダッシュボードにログインします。
2. ネットワーク全体>全般>デバイス設定に移動します。
3. Local credentialsフィールドに、ユーザ定義の強力なパスワードを設定します。このパスワードとユーザ名adminは、設定対象のネットワークに属するすべてのデバイスのLSPクレデンシャルとして使用されます。

注：LSPは、Cisco Merakiダッシュボードの設定変更で無効にできます。ただし、設定に関係なく、LSPは物理管理ポートが装備されたデバイス上でアクティブのままになります。そのため、Cisco Merakiでは、管理者が工場出荷時のデフォルトクレデンシャルを変更することを推奨しています。

ローカルステータスページのデフォルトパスワードを変更する手順については、「Cisco Merakiデバイスのローカルステータスページの使用」を参照してください。

Cisco Merakiは、Cisco Merakiのお客様のLSP工場出荷時のデフォルト資格情報に関する認識を高めるための提案を受け取りました。Safe Decision Cybersecurity LabsのMohammed Adel氏に感謝いたします。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。このドキュメントの情報は、シスコ製品のエンドユーザーを対象としています。