Cisco Catalyst SD-WAN コントローラの認証バイパスの脆弱性

Cisco Catalyst SD-WAN コントローラ（旧 SD-WAN vSmart）、Cisco Catalyst SD-WAN Manager（旧 SD-WAN vManage）、および Cisco Catalyst SD-WAN Validator（旧 SD-WAN vBond）でのピア認証の脆弱性により、認証されていないリモートの攻撃者が認証をバイパスし、影響を受けるシステムで管理者権限を取得できる可能性があります。

この脆弱性は、影響を受けるシステムのピア認証メカニズムが正常に機能していないことが原因です。攻撃者は、細工された要求を該当システムに送信することにより、この脆弱性をエクスプロイトする可能性があります。エクスプロイトが成功すると、攻撃者は影響を受ける Cisco Catalyst SD-WAN コントローラに、内部での高い権限を持つ非ルートユーザーアカウントとしてログインできる可能性があります。このアカウントを使用することで、攻撃者は NETCONF にアクセスし、SD-WAN ファブリックのネットワーク構成を操作することが可能になります。 

この脆弱性に対処するソフトウェア アップデートは、すでにシスコからリリースされています。この脆弱性に対処する回避策はありません。 

このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk

重要：簡素化と一貫性を実現するために、Cisco SD-WAN ソリューションは Cisco Catalyst SD-WAN としてブランド名が変更されました。さらに、Cisco IOS XE SD-WAN リリース 17.12.1a と Cisco Catalyst SD-WAN リリース 20.12.1 以降、次のコンポーネントの変更が適用されます。

• Cisco SD-WAN コントローラは Cisco Catalyst SD-WAN 制御コンポーネントになります
• Cisco SD-WAN vAnalytics は Cisco Catalyst SD-WAN Analytics になります
• Cisco SD-WAN vBond は Cisco Catalyst SD-WAN Validator になります
• Cisco SD-WAN vManage は Cisco Catalyst SD-WAN Manager になります
• Cisco SD-WAN vSmart は Cisco Catalyst SD-WAN コントローラになります

すべてのコンポーネントブランド名変更の包括的なリストについては、最新のリリースノートを参照してください。新しい名称への移行期間中には、ソフトウェア製品のユーザーインターフェイス更新が段階的に行われるため、ドキュメントセットに不整合が生じる可能性があります。

インターネットに公開されている Cisco Catalyst SD-WAN コントローラシステム、およびインターネットに公開されたポートがある Cisco Catalyst SD-WAN コントローラシステムは、侵害のリスクにさらされています。

/var/log/auth.log にある auth.log ファイルを監査して、次に示す例のように、未知の IP アドレスまたは不正な IP アドレスからの Accepted publickey for vmanage-admin に関連する項目がないかどうか調べることをお勧めします。

2026-02-10T22:51:36+00:00 vm <auth.info> sshd[804]: Accepted publickey for vmanage-admin from <SYSTEM IP ADDRESS> port [REDACTED PORT] ssh2: RSA SHA256:[REDACTED KEY]

auth.log ログファイルの IP アドレスを、Cisco Catalyst SD-WAN Manager Web UI の [WebUI] > [デバイス（Devices）] > [システムIP（System IP）] 列にリストされている設定済みのシステム IP と照合する必要があります。

Cisco Catalyst SD-WAN コントローラまたは Cisco Catalyst SD-WAN Manager が侵害されたかどうかを判断する際に支援が必要な場合は、Cisco Technical Assistance Center（TAC）でケースをオープンする必要があります。 新しい TAC ケースをオープンする前に、SD-WAN デプロイメント内の各制御コンポーネントから request admin-tech コマンドを発行し、admin-tech ファイルを Cisco TAC に提供して確認してもらうことができます。

ピアリングイベント検証に関するガイダンス

Cisco Catalyst SD-WAN のログで特定されたすべての制御接続ピアリングイベントは、問題がないかどうかを確認するために手動での検証が必要であり、特に vmanage ピアリングタイプに重点を置いて検証する必要があります。SD-WAN インフラストラクチャを侵害する攻撃者は、一見すると正常に見えるものの、予期しないタイミングで発生したり、認識されていない IP アドレスから発信されたり、あるいは環境のアーキテクチャと一致しないタイプのデバイスが関与したりする、不正なピア接続を確立することがよくあります。適切なネットワーク運用と、侵害の兆候となり得る事象とを区別するためには、包括的なレビュープロセスが不可欠です。

検証チェックリスト

• 各ピアリングイベントのタイムスタンプを、既知のメンテナンス期間、予定されている設定変更、環境の通常の運用時間に照らして確認します。
• アセットインベントリおよび承認された IP 範囲と照合することにより、パブリック IP アドレスが、組織または認定パートナーが所有または運用するインフラストラクチャに対応するものであることを確認します。
• ピアシステム IP が SD-WAN トポロジ内の文書化されたデバイス割り当てと一致することを確認します。
• ピアタイプ（vmanage、vsmart、vedge、vbond）を確認し、デプロイメントで想定されるデバイスのロールと整合していることを確認します。
• 同じ送信元 IP またはシステム IP からの複数のイベントを関連付けて、偵察活動や継続的なアクセス試行のパターンを特定します。
• イベントのタイミングを認証ログ、変更管理記録、およびユーザーアクティビティと照合し、その接続が権限のある担当者によって行われたものかどうかを確認します。

ログエントリの例 

Jul 26 22:03:33 vSmart-01 VDAEMON_0[2571]: %Viptela-vSmart-VDAEMON_0-5-NTCE-1000001: control-connection-state-change new-state:up peer-type:vmanagepeer-system-ip:1.1.1.10 public-ip:192.168.3.20 public-port:12345 domain-id:1 site-id:1005

特定された例では、peer-system-ip が予想されている IP アドレススキーマ in-use と一致していることを検証しています。また、タイムスタンプがピアリングイベントの発生原因となる可能性のあるイベントと一致することを検証しています。さらに、public-ip がピアリングイベントの予想されるソースであることを検証しています。

この脆弱性に対処する回避策はありません。ただし、軽減策として、最初の修正リリースへのアップグレードを計画しているとき、お客様はこの脆弱性の影響を一時的に軽減するために、以下のガイドラインを参照することができます。

この緩和策は導入されており、テスト環境では実証済みですが、お客様は、ご使用の環境および使用条件において適用性と有効性を判断する必要があります。また、導入されている回避策または緩和策が、お客様固有の導入シナリオおよび制限に基づいて、ネットワークの機能やパフォーマンスに悪影響を及ぼす可能性があることに注意してください。回避策や緩和策は、ご使用の環境への適用性と環境への影響を評価した後で導入してください。

シスコでは、回避策や緩和策（該当する場合）は、修正済みソフトウェアリリースへのアップグレードが利用可能になるまでの一時的な解決策であると考えています。これらの脆弱性を完全に修正し、本アドバイザリに記載されているような将来のリスクを回避するために、シスコでは、本アドバイザリに記載されている修正済みソフトウェアにアップグレードすることを強く推奨します。

修正リリース

次の表では、左の列にシスコ ソフトウェアリリースを記載しています。右側の列は、リリースがこのアドバイザリに記載されている脆弱性の影響を受けるかどうか、およびこの脆弱性に対する修正を含む最初のリリースを示しています。このセクションの表に記載されている適切な修正済みソフトウェアリリースにアップグレードすることをお勧めします。

シスコの Product Security Incident Response Team（PSIRT; プロダクト セキュリティ インシデント レスポンス チーム）は、このアドバイザリに記載されている該当するリリース情報と修正済みリリース情報のみを検証します。

追加情報

• コンポーネントとソフトウェアリリースの互換性を確認するには、SD-WAN Controller Component Compatibility Matrix を参照してください。
• アップグレードの計画については、Cisco Catalyst SD-WAN Upgrade Matrix を参照してください。
• 修復に関する追加のサポートについては、『Catalyst SD-WAN セキュリティアドバイザリの修正 - 2026 年 2 月』を参照してください。

シスコでは、該当システムを修正済みのソフトウェアリリースにアップグレードすることを推奨しています。 

セキュリティ強化のための一般的な推奨事項

• インターネットなどの安全でないネットワークからシステムへのアクセスを防止します。システムにインターネットアクセスが必要な場合、ユーザーガイドに記載されているポート/プロトコル上の既知の信頼できるホストのみにシステムアクセスを制限します。
• Cisco Catalyst SD-WAN 制御コンポーネントを、ファイアウォールなどのフィルタリングデバイスの背後で保護し、システムとの間で送受信されるトラフィックをフィルタリングするとともに、既知の信頼できるホストにのみシステムへのトラフィックの送信を許可します。2 層ファイアウォールの使用によって、ネットワークプランニングの柔軟性が高まり、エンドユーザーが外部 DMZ に直接接続することを防止できます。Cisco Catalyst SD-WAN ソフトウェアのユーザーガイドの展開に関するセクションを参照してください。
• Web ログトラフィックを定期的に監視し、システムとの間で予期しないトラフィックがないかどうかを確認します。可能であれば、ログは外部サーバーに送信し、十分なログデータを使用して事後調査を実行できるように十分な期間にわたって保持する必要があります。
• Cisco Catalyst SD-WAN Manager の Web UI 管理者ポータルの HTTP を無効にします。
• HTTP や FTP などの不要なネットワークサービスを無効にします。特定のサービス機能の詳細については、Cisco Catalyst SD-WAN のユーザーガイドを参照してください。
• システムを Cisco Catalyst SD-WAN ソフトウェアの最新バージョンにアップグレードします。
• デフォルトの管理者パスワードを、より安全なパスワードに変更します。必要なアクセス要件に基づいてユーザ アカウントを作成し、管理者アカウントへのアクセスを制限する。 また、すべての管理者に対してオペレータ アカウントを作成します。
• SSL/TLS を使用し、認証局（CA）から SSL 証明書を取得するか、または自己署名証明書を作成します。

詳細については、『Cisco Catalyst SD-WAN Hardening Guide』を参照してください。

Cisco PSIRT は、件数は少ないながら、この脆弱性が不正利用されていることを把握しています。これらの脆弱性が修正済みのソフトウェアリリースにアップグレードすることを、引き続き強くお勧めします。

お客様は、Talos Intelligenceブログの次の投稿で追加情報を確認できます。https://blog.talosintelligence.com/uat-11473-keydrift/

シスコは、この脆弱性を報告してくださったオーストラリア信号総局のオーストラリア サイバーセキュリティ センターに謝意を表します。

ソフトウェアのダウンロードおよびテクニカルサポート

利用規約の詳細