Trusted DesignCVE-2023-20109 の詳細
CVEの情報
説明:
A vulnerability in the Cisco Group Encrypted Transport VPN (GET VPN) feature of Cisco IOS Software and Cisco IOS XE Software could allow an authenticated, remote attacker who has administrative control of either a group member or a key server to execute arbitrary code on an affected device or cause the device to crash.
This vulnerability is due to insufficient validation of attributes in the Group Domain of Interpretation (GDOI) and G-IKEv2 protocols of the GET VPN feature. An attacker could exploit this vulnerability by either compromising an installed key server or modifying the configuration of a group member to point to a key server that is controlled by the attacker. A successful exploit could allow the attacker to execute arbitrary code and gain full control of the affected system or cause the affected system to reload, resulting in a denial of service (DoS) condition. For more information, see the Details ["#details"] section of this advisory.
CVE更新日: 2023-09-27 18:15:10.860000
CVSSバージョン: 3.1
CVSSスコア: 6.6
KEVの情報
KEV更新日: 2023-10-10
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.024840000
EPSS更新日: 2026-10-19 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
以下にCVE-2023-20109に関する解説を記載します。
1. 脆弱性の概要
Cisco IOSソフトウェアおよびCisco IOS XEソフトウェアのCisco Group Encrypted Transport VPN（GET VPN）機能における境界外書き込みの脆弱性です。この脆弱性は、GET VPN機能のGroup Domain of Interpretation（GDOI）およびG-IKEv2プロトコルにおける属性の検証が不十分であることに起因します。
1.1 影響
認証されたリモートの攻撃者が、グループメンバーまたはキーサーバーの管理者権限を持つことで、影響を受けるデバイス上で任意のコードを実行したり、デバイスをクラッシュさせたりする可能性があります。 攻撃が成功した場合、攻撃者はシステムを完全に制御するか、サービス拒否（DoS）状態を引き起こす可能性があります。
1.2 深刻度
CVSSv3.1の基本スコアは6.6（Medium）です。 しかし、この脆弱性はCISAの既知の悪用されている脆弱性（KEV）カタログに追加されており、実際に悪用が試みられていることが確認されています。
2. 対象となる環境
Cisco IOSソフトウェアおよびCisco IOS XEソフトウェアを実行しており、GET VPN機能が有効になっている製品が影響を受けます。具体的には、GDOIまたはG-IKEv2プロトコルが有効になっている場合に影響を受けます。
2.1 影響を受けるOSバージョン
Cisco IOSソフトウェアおよびCisco IOS XEソフトウェアの脆弱なリリースが影響を受けます。影響を受ける特定のソフトウェアリリースについては、シスコのセキュリティアドバイザリの「Fixed Software」セクションを参照する必要があります。
以下のCisco製品は、この脆弱性の影響を受けないことが確認されています。 * IOS XR ソフトウェア * Meraki 製品 * NX-OS ソフトウェア
2.2 影響を受ける設定
GET VPN機能でGDOIまたはG-IKEv2プロトコルが有効になっている設定が影響を受けます。 デバイスでGDOIまたはG-IKEv2プロトコルが設定されているかを確認するには、CLIで
show running-config | include crypto gdoi|gkm groupコマンドを使用します。3. 影響を受けた時の兆候
この脆弱性の悪用に成功した場合、攻撃者は任意のコードを実行し、影響を受けるシステムの完全な制御を奪取するか、システムをリロードさせてサービス拒否（DoS）状態を引き起こす可能性があります。 したがって、予期せぬデバイスのリロードや、不審な設定変更、または異常な動作が兆候として考えられます。
4. 推奨対策
4.1 本対策
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。 シスコは、この脆弱性を修正したソフトウェアリリースにアップグレードすることを強く推奨しています。
4.2 暫定回避策（緩和策）
この脆弱性に対処する回避策はありません。
参照したサイト