Last Updated on 2024-07-02 18:46 by admin
中国系のサイバースパイグループ「Velvet Ant」が、Ciscoのスイッチにおけるゼロデイ脆弱性（CVE-2024-20399、CVSSスコア：6.0）を悪用してマルウェアを配布していることが確認された。この脆弱性は、認証済みのローカル攻撃者が影響を受けるデバイスの基盤となるオペレーティングシステム上で任意のコマンドをroot権限で実行できるコマンドインジェクションの問題である。サイバーセキュリティ企業Sygniaによると、Velvet Antはこの脆弱性を悪用して、これまで未知のカスタムマルウェアを実行し、侵害されたCisco Nexusデバイスにリモートで接続し、追加ファイルをアップロードしてデバイス上でコードを実行することに成功した。
Ciscoは、特定の設定CLIコマンドに渡される引数の検証が不十分であるためにこの問題が発生し、攻撃者が影響を受ける設定CLIコマンドの引数として特別に作成された入力を含めることで悪用できると述べている。また、管理者権限を持つユーザーがシステムのsyslogメッセージをトリガーせずにコマンドを実行できるため、侵害されたアプライアンス上でのシェルコマンドの実行を隠すことが可能である。ただし、この脆弱性のコード実行能力にもかかわらず、成功した悪用には攻撃者が管理者の資格情報を既に所持しており、特定の設定コマンドにアクセスできる必要があるため、重大度は低い。
影響を受けるデバイスには、MDS 9000シリーズ多層スイッチ、Nexus 3000シリーズスイッチ、Nexus 5500プラットフォームスイッチ、Nexus 5600プラットフォームスイッチ、Nexus 6000シリーズスイッチ、Nexus 7000シリーズスイッチ、およびスタンドアロンNX-OSモードのNexus 9000シリーズスイッチが含まれる。Velvet Antは、約3年間にわたり東アジアに位置する名前のない組織を標的としたサイバー攻撃に関連して、以前にイスラエルのサイバーセキュリティ企業によって初めて文書化された。この攻撃では、顧客と財務情報をこっそり盗むために、古いF5 BIG-IPアプライアンスを使用して持続性を確立していた。
【ニュース解説】
中国系のサイバースパイグループ「Velvet Ant」が、Ciscoのスイッチに搭載されているNX-OSソフトウェアのゼロデイ脆弱性を悪用してマルウェアを配布していることが確認されました。この脆弱性は、認証済みのローカル攻撃者が影響を受けるデバイスの基盤となるオペレーティングシステム上で任意のコマンドをroot権限で実行できるコマンドインジェクションの問題です。この攻撃により、Velvet Antは未知のカスタムマルウェアを実行し、侵害されたCisco Nexusデバイスにリモートで接続し、追加ファイルをアップロードしてデバイス上でコードを実行することに成功しました。
この問題の根本原因は、特定の設定CLIコマンドに渡される引数の検証が不十分であることにあります。攻撃者は、影響を受ける設定CLIコマンドの引数として特別に作成された入力を含めることでこの脆弱性を悪用できます。さらに、管理者権限を持つユーザーがシステムのsyslogメッセージをトリガーせずにコマンドを実行できるため、侵害されたアプライアンス上でのシェルコマンドの実行を隠すことが可能です。しかし、この脆弱性のコード実行能力にもかかわらず、成功した悪用には攻撃者が管理者の資格情報を既に所持しており、特定の設定コマンドにアクセスできる必要があるため、重大度は低いとされています。
この脆弱性の発見と悪用は、ネットワークセキュリティの分野における重要な課題を浮き彫りにします。ネットワーク機器、特にスイッチは、しばしば監視が不十分であり、そのログが集中ログシステムに転送されないことが多いため、悪意のある活動を特定し、調査することが困難です。このような状況は、サイバー攻撃者にとって有利な環境を提供し、組織のセキュリティ体制に深刻な脅威をもたらします。
この事件は、組織がネットワーク機器のセキュリティ管理を強化することの重要性を強調しています。具体的には、機器の定期的なパッチ適用、アクセス制御の厳格化、監視とログ管理の強化が必要です。また、セキュリティチームは、ゼロデイ脆弱性に迅速に対応できるよう、最新の脅威情報に常に注意を払い、対策を講じる必要があります。
長期的には、このような攻撃の増加は、セキュリティ技術の進化とともに、サイバーセキュリティの規制や基準の強化を促す可能性があります。組織は、将来的なサイバー攻撃から自身を守るために、セキュリティ対策の継続的な改善と投資が不可欠です。
from Chinese Hackers Exploiting Cisco Switches Zero-Day to Deliver Malware.
