Catalyst SD-WANセキュリティアドバイザリの修正 – 2026年2月

はじめに

このドキュメントでは、2026年2月25日付けのPSIRTアドバイザリに基づいて、SD-WANの重大なセキュリティ脆弱性を特定して修正する手順について説明します。

---

前提条件

要　件

次の項目に関する知識があることが推奨されます。

• Cisco Catalyst SD-WANアーキテクチャおよび制御コンポーネント(vManage、vSmart、vBond)
• Cisco Catalyst SD-WANのアップグレード手順
• Cisco TAC Case ManagementおよびAdmin-Tech収集手順

使用するコンポーネント

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

---

バックグラウンド情報

詳細な背景情報と最新のアップデートについては、PSIRTの公式アドバイザリページを参照してください。

これらのアドバイザリは、次のリンクから入手できます。

• Cisco Catalyst SD-WAN の脆弱性
• Cisco Catalyst SD-WAN コントローラの認証バイパスの脆弱性
  
  

これらの不具合は、次のPSIRTアドバイザリで対処されています。

• Cisco Bug ID CSCws52722
• Cisco Bug ID CSCws33583
• Cisco Bug ID CSCws33584
• Cisco Bug ID CSCws33585
• Cisco Bug ID CSCws33586
• Cisco Bug ID CSCws33587
• Cisco Bug ID CSCws93470

---

是正ワークフローの概要

必要な処置：このセキュリティアドバイザリに対処するには、Cisco TACでサービスリクエストをオープンしてください。

TACは次のユーザが利用できます。

• セキュリティ侵害の指標に関する環境の評価
• 評価に基づく適切な修復パスの案内
• セキュリティ侵害の指標が特定されたら、PSIRTチームと協力する
• 侵害の兆候が検出されない場合は、アップグレードのガイダンスとサポートを提供します。

1. Admin-Techsの収集：すべての制御コンポーネント(vSmart、vManage、vBond)でadmin-techを実行します。vSmart admin-techsは同時に実行しないでください。一度に1つずつ実行してください。その他の情報は、任意の順序で収集できます。Log and Tech optionsを選択します。  コアは必要ありません。
2. TACサービスリクエストをオープンする:Cisco TACに連絡し、すべての制御コンポーネントのAdmin-techログバンドルを提供してください
3. TACアセスメント:TACでは、お客様の環境に侵入の痕跡がないかどうかを評価します
4. 修復の実行:TACが提供する特定のプロセスを実行します

---

---

ステップ1：すべての制御コンポーネントからAdmin-Techファイルを収集します

必須：TACサービスリクエストをオープンする前に、すべての制御コンポーネントからadmin-techファイルを収集します。これは、TACが環境を評価するために不可欠です。

コレクション：

1. すべてのコントローラ(vSmarts)でadmin-techを実行します。これらを同時に実行しないでください。1つずつ収集します。
2. すべてのマネージャ(vManages)でadmin-techを実行します。
3. すべてのバリデータ(vBond)でadmin-techを実行します。

SD-WAN環境でのAdmin-Techの収集とTACケースへのアップロード

代替：手動検証（Admin-Techを収集できない場合のみ）

admin-techファイルを共有できない場合は、手動の検証手順を使用できます。これらの手順は、文書化してTACと共有する必要がある暫定的な指標を提供します。

詳細な手順については、このドキュメントの最後にある「手動確認手順」のセクションを参照してください。調査結果をすべて文書化し、サポート案件でTACに提供します。

---

ステップ2:TACケースをオープンし、Admin-Techファイルをアップロードする

ステップ1からすべてのadmin-techファイルを収集した後、Cisco TACサポートケースをオープンします。

必要なアクション：

1. ビジネスへの影響に適した重大度レベルでTACケースをオープンします。
2. ステップ1で収集したすべてのadmin-techログバンドル（コントローラ、マネージャ、およびバリデータ）をアップロードします。
3. PSIRTアドバイザリを参照する
4. TACの評価とガイダンスを待つ

---

ステップ3:TACアセスメント

TACは、アップロードされたadmin-techファイルを分析し、システムのステータスを判断します。

この間：

• TACによる正式な評価を待ってから、何らかの措置を講じる
• TACから結果と次のステップを報告する

---

ステップ4：修復の実行（TACガイド）

TACは、評価に基づいて適切な修復プロセスを案内します。TACが提供するすべての指示に従ってください。

パスA：侵入の痕跡が見つかりません – アップグレード

TACが侵害の証拠がないことを確認した場合は、修正済みソフトウェアバージョンにアップグレードします。このドキュメントの「修正済みソフトウェアバージョン」の表から適切なバージョンを選択し、このセクションでリンクされているアップグレードガイドを参照してください。

vManage GUIまたはCLIを使用したSD-WANコントローラのアップグレード

パスB：侵入の痕跡の特定 – PSIRTガイド

TACがセキュリティ侵害のインジケータが存在することを確認した場合は、TACが提供するすべてのガイダンスに従ってください。

---

修正済みソフトウェアバージョン

次のソフトウェアリリースには、特定された脆弱性に対する修正が含まれています。

現在のバージョンに適用	修正済みバージョン	利用可能なソフトウェア
20.3、20.6、20.9	20.9.8.2*	20.9.8.2 vManage、vSmart、およびvBondのアップグレードイメージ
20.12の20.10、20.11、20.12.5以前	20.12.5.3	20.12.5.3 vManage、vSmart、およびvBondのアップグレードイメージ
20.12.6	20.12.6.1	20.12.6.1 vManage、vSmart、およびvBondのアップグレードイメージ
20.13、20.14、20.15.x	20.15.4.2	20.15.4.2 vManage、vSmart、およびvBondのアップグレードイメージ
20.16、20.17、20.18.x	20.18.2.1	20.18.2.1 vManage、vSmart、およびvBondのアップグレードイメージ

* リリース20.9以前の場合：ご使用のリリースの修正済みソフトウェア(20.9.8.2)は2/27で入手できます。シスコでは、より高いメジャーリリース(20.12、20.15、20.18)にアップグレードするのではなく、現在のメジャーリリース内に留まり、20.9.8.2リリースまで待つことを推奨します。 現在20.9より前のバージョンを使用している場合は、20.9.8.2がアップグレードされるまで待ちます。引き続きTACで作業し、2027年2月27日に利用可能なソフトウェアリンクを再度確認してください。

重要な参考資料

• アップグレードマトリックス
• コントローラ互換性マトリクス

---

付録：手動による検証手順（Admin-Tech収集ができない場合のみ）

要件：これらの手順は、すべての制御コンポーネントで実行する必要があります。

検証1：認証ログでの不正なSSHログインのチェック

ステップ1：有効なvManageシステムIPの特定

各vSmartコントローラにアクセスし、次を実行します。

west-vsmart# show control connections | inc "vmanage|PEER|IP"

出力例：

                                                    PEER                                                                                    PEER
      PEER  PEER  PEER            SITE       DOMAIN  PRIV    PEER                              PUB     PEER
INDEX TYPE  PROT  SYSTEM IP       ID         ID      PRIVATE IP                        PORT    PUBLIC IP                         PORT    ORGANIZATION        REMOTE COLOR  STATE  UPTIME
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0     vmanage dtls 10.1.0.18     101018     0       10.1.10.18                        12346   10.1.10.18                        12346   calo-auto-lab       default       up     5:17:27:22

ステップ2：正規表現文字列の構築（vBondおよびvSmartのみ）

ステップ1のすべてのシステムIPをOR正規表現パターンに結合します。

system-ip1|system-ip2|...|system-ipn

ステップ2b:vManageシステムの追加ステップ

vManage自体でこれらのコマンドを実行する場合は、localhost IP(127.0.0.1)、ローカルシステムIP、すべてのクラスタIP、およびVPN 0トランスポートインターフェイスIPを正規表現に追加します。

system-ip1|system-ip2|...|system-ipn|127.0.0.1|

ローカルvManageシステムIPを検索するには、次のコマンドを使用します。

show control local-properties

VPN 0トランスポートインターフェイスIPとクラスタIPを見つけるには、次のコマンドを使用します。

show interface | tab

ステップ3：検証コマンドの実行

次のコマンドを実行して、REGEXをステップ2で得た正規表現の文字列に置き換えます。

west-vsmart# vs
west-vsmart:~$ zgrep "Accepted publickey for vmanage-admin from " /var/log/auth.log* | grep -vE "\s(REGEX)\s"

ステップ4：結果の解釈とTACのドキュメント

出力が表示されない場合は、次の手順を実行します。

• このデバイスでは侵入の痕跡は検出されない
• この結果をTACケースに文書化します。
• 残りのコントローラの評価を続行

ログ行が出力される場合：

• 示されている各IPアドレスを注意深く調べる
• IPがvManageインフラストラクチャ（クラスタIP、古いシステムIPなど）に関連していないことを確認します。
• 送信元IPが正当なものであると特定できない場合、侵害の潜在的なインジケータを示している可能性があります
• ログエントリには、タイムスタンプと送信元IPアドレスが表示されます
• すべての調査結果を文書化し、TACサービスリクエストを直ちにオープンする
• ケースにログエントリ、タイムスタンプ、および送信元IPを含めます
• TACが公式評価の決定を行う

検証2：コントローラのsyslogで不正なピア接続をチェックする

このコマンドは、コントローラのsyslogファイルからすべてのピアタイプとピアシステムのipのペアを抽出し、確認できるようにリストとして出力します。疑わしいエントリに自動的にフラグが設定されることはありません。出力を調べて、各ピアシステムIPがSD-WANインフラストラクチャの既知の正当な部分かどうかを判断する必要があります。すべてのコントロールコンポーネント（コントローラ、マネージャ、およびバリデータ）でこれを実行します。

ステップ1：各制御コンポーネントでコマンドを実行します。

まず、vshellにアクセスし、ログディレクトリに移動します。

vs
cd /var/log

次に、次のコマンドを実行します。

awk '{
  match($0, /peer-type:([a-zA-Z0-9]+)[^ ]* peer-system-ip:([0-9.:]+)/, arr);
  if(arr[1] && arr[2]) print "(" arr[1] ", " arr[2] ")";
}' vsyslog* | sort | uniq

ステップ2：結果の解釈とTACへのドキュメントの提出

出力に既知のvManage/vSmart/vBondシステムIPのみが表示される場合：

• このチェックではセキュリティ侵害の兆候は検出されませんでした
• この結果をTACケースに文書化します。
• 残りの制御コンポーネントの評価を続行する

出力に認識されないピアシステムIPが含まれている場合：

• 示されている各IPアドレスとピアタイプを注意深く調べます
• IPが既知のSD-WANコントロールプレーンインフラストラクチャに関連していないことを確認します。
• 送信元IPが正当なものであると特定できない場合、侵害の潜在的なインジケータを示している可能性があります
• すべての調査結果を文書化し、TACサービスリクエストを直ちにオープンする
• この場合は、ピアタイプとピアシステムIPペアを指定してフルコマンド出力を含めてください
• TACが公式評価の決定を行う

検証3:DCAファイルの読み取り

ステップ1：確認する内容

ログファイル：/var/log/nms/containers/service-proxy/serviceproxy-access.log

ログ行の例

[2026-03-04T01:45:06.239Z] "GET /reports/data/opt/data/containers/config/data-collection-agent/.dca HTTP/1.1" 200 - 0 32 1 - "" "python-requests/2.32.5" "ae076862-2244-45a6-844f-bc2af970e570" "192.168.2.3" "127.0.0.1:8080"

ステップ2：手動検索コマンド

ターミナルから：抽出されたadmin-techバンドル内を検索します。

zgrep -r "data-collection-agent/.dca" var/log/nms/containers/service-proxy/serviceproxy-access.log*

検証4：パストラバーサル/任意のファイルの上書き

ステップ1：確認する内容

ログファイル：/var/log/nms/vmanage-server.log

ログ行の例

06-Mar-2026 02:16:34,029 UTC INFO  [285fcdc0-30fa-4ca0-8e06-6953a095a59a] [LAB-TEST-1] [SmartLicensingManager] (default task-11229) |57501bad-32a7-4f52-8f54-8547dcd7403e| Time taken to write file ../../../../../../../../../../../var/lib/wildfly/standalone/deployments/cmd.gz.war = 2 ms to directory /opt/data/app-server/software/package/license/ack
04-Mar-2026 15:40:02,683 IST INFO  [ca0e641b-acc7-42a6-b39b-bf3d28be0bcb] [LAB-TEST-1] [SmartLicensingManager] (default task-1235) |default| Time taken to write file ../../../../../../../../../../../var/lib/wildfly/standalone/deployments/sysv.gz.war = 0 ms to directory /opt/data/app-server/software/package/license/ack
27-Feb-2026 08:49:27,169 IST INFO  [d9976a9d-071e-4e07-a3ef-4e90019cae12] [LAB-TEST-1] [SmartLicensingManager] (default task-809) |default| Time taken to write file ../../../../../../../../../../../var/lib/wildfly/standalone/deployments/authscp.gz.war = 0 ms to directory /opt/data/app-server/software/package/license/ack

注意：例に示されているファイル名(cmd.gz.warなど)は、例にすぎません。実際のケースでは、異なるファイル名を使用できます。それぞれが個別のドロップされたペイロードを表すため、識別されたすべての一意のトラバーサルファイル名を記録します。

ステップ2：手動検索コマンド

ターミナルから：抽出されたadmin-techバンドル内を検索します。

grep -rE "SmartLicensingManager.*Time taken to write file \.\.\/" var/log/nms/vmanage-server.log*

ローテーション/圧縮されたログを含める：

zgrep -E "SmartLicensingManager.*Time taken to write file \.\.\/" var/log/nms/vmanage-server.log*

関連するコンテキスト行をキャプチャするには（API処理のアップロードとイベントの書き込み）、次の手順を実行します。

grep -rE "SmartLicensingManager.*(write file|is processing|stringUrl|Failed to download).*/wildfly" var/log/nms/vmanage-server.log*

検証5：ファイルの導入 

ステップ1：確認する内容

ログファイル：/var/log/nms/containers/service-proxy/serviceproxy-access.log

*.gz/*.jsp URIパターンに対するすべてのPOST要求にはフラグが付きます。HTTPステータスによって重大度が決まります。

HTTPステータス	意味	侵入を確認したか？
200	サーバがWebシェルを実行し、ペイロードがアクティブ	はい – 侵害の確認

ログ行の例

[2026-03-04T08:03:33.295Z] "POST /cmd.gz/cmd.jsp HTTP/1.1" 200 - 6 63 78 - "" "python-requests/2.32.5" "9d842c1a-b96f-4d04-ac3d-542ec3dd734b" "192.168.2.3" "127.0.0.1:8080"

ステップ2：手動検索コマンド

ターミナルから：抽出されたadmin-techバンドル内を検索します。

grep -rE '"POST /[^"]+\.gz/[^"]+\.jsp HTTP' var/log/nms/containers/service-proxy/serviceproxy-access.log*

ローテーション/圧縮されたログを含める：

zgrep -E '"POST /[^"]+\.gz/[^"]+\.jsp HTTP' var/log/nms/containers/service-proxy/serviceproxy-access.log*

確認された実行(HTTP 200)を200以外の試行から分離するには、次の手順を実行します。

# HTTP 200 only - confirmed webshell execution:
grep -rE '"POST /[^"]+\.gz/[^"]+\.jsp HTTP[^"]*" 200' var/log/nms/containers/service-proxy/serviceproxy-access.log*

---

FAQ

Q：このセキュリティアドバイザリに対処するための最初のステップは何ですか。

A：すべての制御コンポーネントからadmin-techファイルを収集し、TACケースを開いてファイルをアップロードします。TACが環境を評価し、次のステップに関するガイダンスを提供します。

Q.どのバージョンにアップグレードする必要がありますか。 

A.できるだけ早い段階で、最も近い修正済みバージョンにアップグレードしてください。

Q：すべての制御コンポーネントからadmin-techsを収集する必要がありますか。

A：はい。TACが環境を適切に評価するには、すべてのコントローラ（vSmart、1つずつ収集）、すべてのマネージャ(vManage)、およびすべてのバリデータ(vBond)のadmin-techファイルが必要です。

Q:TACはシステムが侵害されたかどうかを判断する方法を教えてください。

A:TACは、専用ツールを使用してアドミンテクノロジーファイルを分析し、侵害の痕跡がないか環境を評価します。

Q：セキュリティ侵害の兆候が見つかった場合、どうなりますか。

A:TACから連絡があり、お客様の環境に固有の次のステップとガイダンスについて話し合います。シスコがユーザに代わって修復を実行することはありません。TACは、ユーザが作業を進めるために必要なガイダンスを提供します。

Q：使用する修正済みソフトウェアのバージョンを知るにはどうすればよいのですか。

A：このドキュメントの「修正済みソフトウェアバージョン」の表を参照してください。ご使用の環境に適したバージョンのTACの確認

Q:TACが管理技術者を分析する前に、アップグレードを開始できますか。

A：いいえ。TACが改善措置を実施する前に、評価を完了してガイダンスを提供するのを待ってください。

Q：修復中にダウンタイムが発生する可能性はありますか。

A：影響は、導入アーキテクチャと修復パスによって異なります。TACは、プロセス中のサービスへの影響を最小限に抑えるためのガイダンスを提供します。

Q:PSIRTの修正は、今後の20.15.5リリースおよびその他の今後のリリースに含まれますか。 

A：はい。修正は20.15.5およびその他の今後のリリースに含まれます。ただし、このドキュメントで説明されている脆弱性を緩和するためのアップグレードは、ただちに優先する必要があります（しばらくお待ちください）。

Q：セキュリティ侵害の兆候が見つからない場合、すべてのコントローラをアップグレードする必要がありますか。

A：はい。すべてのSD-WAN制御コンポーネント（vManage、vSmart、およびvBond）を修正済みのソフトウェアバージョンにアップグレードする必要があります。コントローラのサブセットのみをアップグレードするだけでは不十分です。

Q：クラウドホスト型のSD-WANオーバーレイを所有しています。アップグレードにはどのようなオプションがありますか。

A：クラウドホステッドオーバーレイでは、次の2つのオプションがあります。

1. SSP > Overlay Details > Change Windowsの順に選択して、環境の自動アップグレードがスケジュールされているかどうかを確認します。
2. スケジュールされたアップグレードを待機しない場合は、次の2つのオプションがあります。
   • このドキュメントで入手できるアップグレードガイドを使用して、自分でアップグレードしてください。

   • 希望するメンテナンスウィンドウでスタンバイTACケースをオープンします。アップグレードで問題が発生した場合は、TACを利用できます。

Q：エッジルータもアップグレードする必要がありますか。

A: Cisco IOS XEデバイスは、このアドバイザリの影響を受けません。

Q：シスコのホステッドオーバーレイです。ACLを修正するか、SSPでアクションを実行する必要がありますか。

A：シスコがホストするすべてのカスタマーは、SSPで確認できる独自のAllowed Inbound Rulesを確認し、こちら側の必要なプレフィックスのみが許可されていることを確認することをお勧めします。これらのルールは管理アクセス専用であり、エッジルータには適用されません。SSP > Overlay Details > Allow Inbound rulesで確認してください。シスコが外部からクラウドホステッドコントローラにプロビジョニングするDay 0では、ポート22および830がデフォルトで常にブロックされていることに注意してください。

Q:CDCS/共有テナントを使用しています。どのバージョンにアップグレードしますか？ 

A：現在のバージョンに基づいて、共有テナントまたはCDCSクラスタは現在アップグレードの予定が入っているか、すでに修正済みバージョンにアップグレードされています。共有テナントとCDCSの修正済みリリースを次に示します。

1. 早期導入クラスタ=> 20.18.2.1（これは実際には標準リリースと同じです）

2. 推奨リリースクラスタ=> 20.15.405（PSIRT修正を含むCDCS固有バージョン）

CDCSのお客様は、このPSIRTに対応するために効果的な措置を講じる必要はありません。

Q: SD-WANオーバーレイの脆弱性を軽減するための一般的なベストプラクティスまたは方法を教えてください。

A: SD-WANオーバーレイの脆弱性を軽減するためのベストプラクティスと推奨事項については、『Cisco Catalyst SD-WAN強化ガイド』を参照してください。

Q：システム上の「root」ユーザのログが表示されます。  何か問題でも？ 

A：その時点でシステムで他に何が起こっているかを確認します。   これらのログは完全に予想できます。  たとえば、admin-techsが生成されると、「root」ユーザからのsystem-login-changeログが表示されます。  リブート中に「root」ユーザからログを確認することもできます。  

Feb 28 23:03:44 Manager01 SYSMGR[863]: %Viptela-Manager01-sysmgrd-6-INFO-1400002: Notification: system-login-change severity-level:minor host-name:"Manager01" system-ip: user-name:"root" user-id:245  generated-at:2-28-2026T23:3:44
Feb 28 23:03:47 Manager01 SYSMGR[863]: %Viptela-Manager01-sysmgrd-6-INFO-1400002: Notification: system-login-change severity-level:minor host-name:"Manager01" system-ip: user-name:"root" user-id:248  generated-at:2-28-2026T23:3:47

Q：シスコはすでにアップグレードを完了しており、セキュリティ侵害の兆候はありません。3月17日に新しいIOCがリリースされた後、何をする必要がありますか。

A：修正済みとしてリストされているソフトウェアには、この記事で説明されている2つのアドバイザリに記載されているCVEを悪用しようとする攻撃に対する保護が含まれています。アップグレードによって将来のエクスプロイトから保護されますが、アップグレード前に発生した既存のエクスプロイトがまだ存在する可能性があります。コントロールコンポーネントから管理テクニックを再スキャンするために、Cisco Bug ID CSCws52722のBug Search Toolページに組み込まれているセルフサービスの「Check Bug Applicability」を使用することをお勧めします。必要に応じて、お客様はTACケースをオープンし、この記事で説明されているプロセスを繰り返して、新しいIOCに基づいてadmin-techsを再スキャンできます。b

---

---