Cisco(シスコ)はCisco Catalyst SD-WAN Software向けに、深刻度の高いセキュリティ強化アップデートを公開しました。今回の対応は、認証済み攻撃者がアクセス制御を回避したりファイルパスを操作したりできる複数の脆弱性に対処するものです。
Cisco勧告cisco-sa-hardening-sdwan-faLcR3Kとして追跡されているこれらの脆弱性は、最大でCVSSスコア9.9に達し、デバイスの設定にかかわらずCatalyst SD-WANの導入環境全般に影響します。
影響を受ける環境には、オンプレミス展開、Cisco SD-WAN Cloud-Pro、Cisco管理のSD-WAN Cloud、そしてCisco SD-WAN for Government(FedRAMP)が含まれます。
Ciscoは、Catalyst SD-WANエンジニアリングチームによる社内セキュリティレビューを経て、2026年8月5日にこの勧告を公開しました。
同社によると、これらの問題は確立されたセキュリティテストプロセスと最先端のAIモデルを用いた社内テストの過程で発見されたとのことです。Cisco PSIRTは、開示時点で公開された悪用や悪意のある利用は確認されていないとしています。
CVSS 9.9と評価されたCVE-2026-20303は、CWE-20に分類される不適切な入力検証の問題に対処するものです。このカテゴリには、攻撃者が制御する入力に対する検証不備、パストラバーサル、ファイルパスの外部制御に関わる欠陥が含まれます。
実際の攻撃シナリオでは、入力検証の弱さにより、攻撃者が特別に細工したリクエストを送信し、意図しないディレクトリやファイル、システムリソースにアクセスできてしまう可能性があります。
同じく9.9と評価されたCVE-2026-20304は、CWE-284に分類される不適切なアクセス制御の脆弱性に対処するものです。このグループの問題には、認可・認証・権限強制の不備、そしてアクセス制御のバイパスが含まれます。
低権限であっても有効なアクセス権を持つ攻撃者は、こうした欠陥を悪用することで、本来許可されていない範囲の操作を行ったりデータを取得したりできる可能性があります。
さらにCiscoは、CWE-59として追跡されるファイルアクセス前のリンク解決の不備に関わる、CVSSスコア9.9の別の深刻な脆弱性CVE-2026-20310も修正しました。
この種の脆弱性は、ソフトウェアがシンボリックリンクを辿ったり、ファイルシステムのパスを安全でない形で解決したりする際に発生し、意図しないファイルへのアクセスや改ざんの機会を生み出す可能性があります。
その他に対処された問題としては、機微情報の平文保存に関するCVE-2026-20312(評価8.8)と、入力における指定数量の不適切な検証に関するCVE-2026-20313(評価7.7)があります。
Ciscoが確認したところによると、回避策は存在しないとのことです。脆弱なCatalyst SD-WANリリースを運用している組織は、特に管理インターフェースや管理コンポーネントが共有ネットワークからアクセス可能な場合、修正済みリリースへのアップグレードを優先すべきです。
Ciscoは、バージョン20.9より前のバージョンを使用している顧客に対し、サポート対象の修正済みリリースへの移行を推奨しています。影響を受けるバージョンの一部はすでにソフトウェアメンテナンス終了(EOL)を迎えており、ポイントリリースの適用ではなく、より大規模なアップグレードが必要になります。
Cisco社が管理するサービスであるCisco SD-WAN Cloudについては、リリース20.15.602で既に修正済みであり、顧客側での対応は不要です。
とはいえ管理者は、サービスのGUIを通じて修正状況を確認するとともに、パッチ適用後には管理プレーンのアクセス制御、特権アカウント、SD-WANシステムログを点検することが望まれます。
ANY.RUNのブラウザ内データ検査で、より迅速な検知・調査・対応を。フィッシングの完全な可視化でSOCを強化し、MTTRを削減しましょう
翻訳元: https://cyberpress.org/critical-cisco-sd-wan-vulnerabilities/
