米シスコシステムズは11月4日(米国時間)、同社が提供するポリシー管理ツールの「Cisco Policy Suite」に鍵ベースのSSH認証に関する重大な脆弱性が発見されたとしてセキュリティアドバイザリ「Cisco Policy Suite Static SSH Keys Vulnerability」を公開した。この脆弱性を悪用されると、リモートの第三者が対象のシステムに対してroot権限でSSHログインできる可能性があるという。
-
Cisco Security Advisory: Cisco Policy Suite Static SSH Keys Vulnerability
該当する脆弱性は「CVE-2021-40119」として追跡されており、CVSS v3のベーススコアは9.8で深刻度「Critical(緊急)」に分類されている。この脆弱性はCisco Policy SuiteのSSH認証メカニズムの問題に起因しており、攻撃者は対象のシステムにSSHを使用して接続し、rootユーザーとしてログインして悪事を働くおそれがある。シスコはこの問題を内部のセキュリティテスト中に発見したとのことで、本稿執筆時点では実際に悪用されたという報告は上げられていない。
Cisco Policy Suiteの20.2.0以前のバージョンを使用している場合、対策済みのバージョンである21.1.0にアップデートすることでCVE-2021-40119の影響を回避できるという。ただし、バージョン20.2.0はアップデートする前にテクニカルアシスタンスセンターに連絡するよう求めている。
また、バージョン21.1.0を使用している場合、影響を回避するにはデフォルトのSSHキーを変更する必要があるという。バージョン21.2.0以降に関しては、新規でインストールした場合は問題ないが、旧版よりアップデートして利用している場合はやはりデフォルトのSSHキーを変更する必要があるとのことだ。
