Cisco Secure Firewall適応型セキュリティアプライアンスソフトウェアおよびSecure Firewall Threat DefenseソフトウェアのVPN Webサーバにおける不正アクセスの脆弱性

ダウンロード オプション

  • PDF     (410.5 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
Updated: 2025 年 11 月 6 日
Document ID:SA225060

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

Cisco Security - Cisco

Medium

Advisory ID : cisco-sa-asaftd-webvpn-YROOTUW
初公開日 : 2025-09-25 16:00
最終更新日 : 2025-11-06 15:50
バージョン 2.1 : Final
CVSSスコア : 6.5
回避策 : No workarounds available
Cisco Bug ID : CSCwq79815
 

日本語の情報は原文の英語の非公式な翻訳です。日本語と英語のバージョンに相違がある場合は、英語のバージョンが優先されます。

概要

アップデート:2025年11月5日、シスコはCisco Secure ASAソフトウェアまたはCisco Secure FTDソフトウェアリリースを実行し、CVE-2025-20333およびCVE-2025-20362の影響を受けるデバイスに対する新しい攻撃バリアントを認識しました。この攻撃により、パッチが適用されていないデバイスの予期しないリロードが引き起こされ、サービス妨害（DoS）状態が発生する可能性があります。すべてのお客様には、このアドバイザリの「修正済みソフトウェア」セクションに記載されている修正済みソフトウェアリリースにアップグレードすることを強くお勧めします。

Cisco Secure Firewall Adaptive Security Appliance(ASA)ソフトウェアおよびCisco Secure Firewall Threat Defense(FTD)ソフトウェアのVPN Webサーバの脆弱性により、認証されていないリモート攻撃者が、リモートアクセスVPNに関連する制限されたURLエンドポイントにアクセスできるようになります。このURLエンドポイントには、認証を行わないとアクセスできない可能性があります。

この脆弱性は、HTTP(S) リクエストでのユーザー入力の検証が不適切なことに起因します。攻撃者は、巧妙に細工されたHTTP要求をデバイス上のターゲットWebサーバに送信することにより、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は、制限されたURLに認証なしでアクセスできる可能性があります。

この脆弱性に対処するソフトウェア アップデートは、すでにシスコからリリースされています。これらの脆弱性が修正済みのソフトウェアリリースにアップグレードすることを、引き続き強くお勧めします。この脆弱性に対処する回避策はありません。

このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-YROOTUW

このアドバイザリに記載されている脆弱性の詳細については、『Cisco Event Response: Continued Attacks Against Cisco Firewall Platforms』を参照してください。

該当製品

脆弱性がある製品

この脆弱性の公開時点では、シスコデバイスでCisco Secure Firewall ASAソフトウェアまたはCisco Secure FTDソフトウェアの脆弱性が存在するリリースが実行されており、さらに、次の2つの表に示す1つ以上の脆弱性が存在する設定が実行されている場合に、シスコデバイスに影響が及びました。

脆弱性が存在する Cisco ソフトウェアリリースについては、このアドバイザリの修正済みソフトウェアセクションを参照してください。

Cisco Secure Firewall ASA ソフトウェアにおける脆弱性のある設定

次の表では、左列に潜在的脆弱性のある Cisco Secure Firewall ASA ソフトウェアの機能を記載しています。右の列には、show running-config CLIコマンドで判断可能な、この機能の基本設定を示します。これらの機能により、SSL リスニングソケットが有効になる可能性があります。

Cisco Secure Firewall ASA ソフトウェアの機能 脆弱な可能性のある設定
AnyConnect IKEv2 Remote Access（クライアントサービスあり） 
crypto ikev2 enable <interface name> client-services port <port_numbers>
モバイルユーザセキュリティ(MUS) 
webvpn
 mus password
 mus server enable <port_number>
 mus <IPv4_address> <IPv4_mask> <interface_name>
SSL VPN 
webvpn
 enable <interface_name>

Cisco Secure FTD ソフトウェアの脆弱な設定

次の表では、左列に潜在的脆弱性のある Cisco Secure FTD ソフトウェアの機能を記載しています。右の列には、show running-config CLIコマンドで判断可能な、この機能の基本設定を示します。これらの機能により、SSL リスニングソケットが有効になる可能性があります。

Cisco Secure FTD ソフトウェアの機能 脆弱な可能性のある設定
AnyConnect IKEv2 Remote Access（クライアントサービスあり） 
crypto ikev2 enable <interface_name> client-services port <port_number>
AnyConnect SSL VPN（トンネルモード） 
webvpn
 enable <interface_name>

リモートアクセス VPN 機能は、Cisco Secure Firewall Management Center（FMC）ソフトウェアで [デバイス（Devices）] > [VPN] > [リモートアクセス（Remote Access）] の順に選択するか、Cisco Secure Firewall Device Manager（FDM）で [デバイス（Device）] > [リモートアクセスVPN（Remote Access VPN）] の順に選択すると有効になります。

脆弱性を含んでいないことが確認された製品

このアドバイザリの脆弱性が存在する製品セクションにリストされている製品だけがこの脆弱性の影響を受けることが知られています。

シスコは、この脆弱性が Cisco Secure FMC ソフトウェアには影響を与えないことを確認しました。

回避策

この脆弱性に対処する回避策はありません。

修正済みソフトウェア

シスコでは、回避策や緩和策は、修正済みソフトウェアリリースへのアップグレードが利用可能になるまでの一時的な解決策であると考えています。この脆弱性を完全に修正し、本アドバイザリに記載されているような将来のリスクを回避するために、シスコでは、本アドバイザリに記載されている修正済みソフトウェアにアップグレードすることを強く推奨します。

Cisco Secure Firewall ASA ソフトウェアリリース 9.12 および 9.14 

Cisco Secure Firewall ASA ソフトウェアリリース 9.12 または 9.14 を実行している次の Cisco ASA 5500-X シリーズ モデルでは、非表示の Cisco Secure Firewall ASA ソフトウェアリリース 9.12.4.72 または 9.14.4.28 を使用します。その他のすべてのプラットフォームについては、Cisco Software Checker を使用して、最初の修正済みリリースを確認します。

  • 5512-X および 5515-X – サポート終了日：2022 年 8 月 31 日 
  • 5525-X、5545-X、および 5555-X – サポート最終日：2025 年 9 月 30 日
  • 5585-X – サポート終了日：2023 年 5 月 31 日

Cisco Secure Firewall ASA ソフトウェアリリース 9.12.4.72 は、Cisco Software Download Center から入手できます。
Cisco Secure Firewall ASA ソフトウェアリリース 9.14.4.28 は、Cisco Software Download Center から入手できます。

これらは、Cisco Secure Firewall ASA ソフトウェアリリース 9.12 および 9.14 の最終リリースです。

Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェア

お客様が Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェアにおける脆弱性のリスクの有無を判断できるように、シスコは Cisco Software Checker を提供しています。このツールを使うことで、特定のソフトウェアリリースに関連するすべてのシスコ セキュリティ アドバイザリを検索でき、それぞれのアドバイザリで言及された脆弱性を修正した最初のリリース（「First Fixed」）を特定できます。 また、該当する場合には、Software Checker により判別されたすべてのアドバイザリに記載のすべての脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。

このツールを使用するには、「Cisco Software Checker」ページの手順に従います。または、次のフォームを使用して、特定のソフトウェアリリースに影響を及ぼす脆弱性を検索します。このフォームを使用するには、次の手順に従います。

  1. ツールで検索するアドバイザリを選択します。すべてのアドバイザリ、セキュリティへの影響の評価（SIR）が「重大」または「高」のアドバイザリのみ、またはこのアドバイザリのみを選択します。
  2. 該当するソフトウェアを選択します。
  3. 該当するプラットフォームを選択します。
  4. リリース番号を入力します。たとえば、Cisco Secure Firewall ASA ソフトウェアの場合は 9.20.3.4、Cisco Secure FTD ソフトウェアの場合は 7.4.2 と入力します。
  5. [チェック（Check）] をクリックします。

 

推奨事項

修正済みリリースをインストールした後、『Cisco Secure Firewall ASA ファイアウォール CLI コンフィギュレーション ガイド』の「VPN サービスの脅威検出の設定」のセクションを確認することをお勧めします。このセクションでは、リモートアクセス VPN ログイン認証攻撃、クライアント開始攻撃、および無効な VPN サービスへの接続試行からの保護を有効にするためのガイダンスを提供します。どの保護が必要であるかは、お客様の裁量に委ねられます。

不正利用事例と公式発表

Cisco PSIRTでは、この脆弱性の不正利用が試みられたことを認識しています。これらの脆弱性が修正済みのソフトウェアリリースにアップグレードすることを、引き続き強くお勧めします。

出典

この脆弱性は Cisco TAC サポートケースの解決中に発見されました。

今回の調査にご協力いただきました、次の機関に感謝申し上げます。

  • オーストラリア信号総局のオーストラリア サイバーセキュリティ センター
  • カナダ通信保安局の下部組織であるカナダ サイバーセキュリティ センター
  • 英国国家サイバーセキュリティ センター（NCSC）
  • 米国サイバーセキュリティ インフラストラクチャ セキュリティ庁（CISA）

URL

改訂履歴

バージョン 説明 セクション Status 日付
2.1 Cisco Software Checker テンプレートを修正。Cisco Secure Firewall ASA ソフトウェアリリース 9.12 および 9.14 の最初の修正済みリリースに関する情報を追加。 修正済みソフトウェア Final 2025 年 11 月 6 日
2.0 新しい攻撃の亜種に関する情報を追加。 概要 Final 2025 年 11 月 5 日
1.1 エンドポイントを明確化。 概要 Final 2025 年 9 月 26 日
1.0 初版リリース — Final 2025 年 9 月 25 日

利用規約

ソフトウェアのダウンロードおよびテクニカルサポート

Cisco.com の シスコサポート & ダウンロードページには、ライセンスとダウンロードに関する情報が記載されています。このページには、マイデバイス（My Devices）ツールを使用するお客様のカスタマーデバイスサポート範囲も表示できます。お客様がソフトウェアをダウンロードできるのは、シスコから直接、あるいはシスコ認定再販業者やシスコ認定パートナーを通じて調達されたもので、ライセンスが有効なものに限ります。

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center（TAC）に連絡してアップグレードを入手してください。 無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

ソフトウェアのアップグレードを検討する際には、関連するシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性とアップグレード ソリューション一式を確認してください。いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

利用規約の詳細

シスコは、商品適格性または特定目的への適合性に関する保証を含め、明示的か黙示的かを問わず、いかなる種類の保証も表明しません。前述の一般論に限定されることなく、シスコは、本情報の正確性または完全性を保証するものではありません。コンテンツは「現状のまま」提供されます。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本セキュリティアドバイザリに含まれる情報のコピーや要約には、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。本セキュリティアドバイザリの最新版については、シスコ セキュリティ アドバイザリ ページをご覧ください。Cisco Product Security Incident Response Team（PSIRT; プロダクト セキュリティ インシデント レスポンス チーム）は、このアドバイザリに記載されている該当するリリース情報と修正済みリリース情報のみを評価します。詳細については、シスコのセキュリティ脆弱性ポリシーを参照してください。