Cisco Snort 3 関連製品に重大な脆弱性、修正版あり
Cisco が Snort 3 の社内セキュリティレビューで見つけた、メモリの範囲外書き込み(CWE-787)に関する複数の脆弱性に対し、強化版(hardening release)を公開しました。Snort 3 を使う Cisco Secure Firewall Threat Defense(FTD)、Cisco Cyber Vision などの利用組織が対象になり得ます。まず自社の製品と版を確認し、Cisco の公式アドバイザリに従って修正版へ更新してください。
急ぎ度: 早めに
CVSSは9.0で認証なしにネットワークから狙える設計ですが、悪用の難易度は高めと評価されており、実際の攻撃での悪用は現時点で明らかになっていないためです。
関係があるか
Snort 3の検査エンジンを組み込んだCisco製品（ファイアウォールの侵入防御機能、産業用ネットワークの監視製品、ルーターなどのIPS機能）や、オープンソース版Snort 3を自前で運用している組織が対象になり得ます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Cisco Secure Firewall Threat Defense (FTD) Software | Snort 3を使う版が対象になり得ます。具体的な版はCiscoのアドバイザリで確認してください | 強化版が公開されています。版番号はCiscoのアドバイザリを参照してください |
| Cisco Cyber Vision | 対象となる版はCiscoのアドバイザリで確認してください | 強化版が公開されています。版番号はCiscoのアドバイザリを参照してください |
| Cisco Open Source Snort3 | 対象となる版はCiscoのアドバイザリで確認してください | 強化版が公開されています。版番号はCiscoのアドバイザリを参照してください |
| Cisco UTD SNORT IPS Engine Software | 対象となる版はCiscoのアドバイザリで確認してください | 強化版が公開されています。版番号はCiscoのアドバイザリを参照してください |
確かめ方
- 1資産台帳や運用中の機器から、上記4製品を使っているものを洗い出します。
- 2FTDの場合は、管理画面またはCLIで現在の版を確認し、Ciscoのアドバイザリ（cisco-sa-hardening-snort3-ybgmhTQe）の対象版と照らし合わせます。
- 3侵入防御（IPS）機能でSnort 3を有効にしているかを確認します。Snort 2のみで動かしている場合に影響があるかは、アドバイザリの記載で確認してください。
- 4オープンソース版Snort 3を自前で動かしている場合は、使っている版を確認し、Ciscoが公開した強化版と比べます。
何が起きたか
Ciscoが管理するオープンソースの侵入検知・防御ソフトSnort 3について、開発チームが社内でセキュリティレビューを行い、複数の脆弱性を見つけました。Ciscoはこれらを修正する強化版（hardening release）を公開しています。外部からの攻撃報告をきっかけにしたものではなく、社内の点検で見つかった点が今回の特徴です。
これらの脆弱性は、メモリ上で本来書き込んではいけない範囲にデータを書いてしまう「範囲外書き込み（CWE-787）」に分類されています。CVE-2026-20043がこの一群を指す番号で、関連するCVE番号も複数付いています。
深刻度の評価（CVSS v3.1）は9.0で「緊急」です。ネットワーク経由で、認証も利用者の操作も不要という評価ですが、悪用には条件が整う必要があるとされています（攻撃の複雑さは「高」）。影響の範囲が元のコンポーネントを越えて広がり得ること、機密性・完全性・可用性への影響がいずれも「高」とされていることが、点数を押し上げています。具体的にどんな結果になるか（通信の停止、機器の乗っ取りなど）は、公表されている情報からは確定できません。
攻撃の流れ
-
1
細工した通信
攻撃者が、Snort 3の検査対象になる経路へ特別に作った通信を送ります。
-
2
検査処理で発生
Snort 3がその通信を解析する過程で、メモリの範囲外にデータを書き込んでしまいます。
-
3
動作が乱れる
書き込みによって検査エンジンの動作が不安定になる可能性があります。
-
4
機器への影響
評価上は機密性・完全性・可用性のすべてに大きな影響が及び得ます。具体的な被害は公表されていません。
どう悪用されるか
CVSSの評価では、攻撃元はネットワーク上のどこでもよく、事前の認証や利用者の操作は不要です。一方、攻撃の複雑さは「高」とされているため、攻撃者が制御できない条件が整う必要があると考えられます。条件の具体的な内容は公表されていません。
悪用された場合は、検査機器そのものの停止や、通信の検査が機能しなくなること、さらに機器上の情報や設定への影響が懸念されます。ファイアウォールやIPSは社内外の境界に置かれることが多く、止まる・乗っ取られると影響が大きくなります。ただし、現時点で実際の攻撃での悪用が確認されたとの公表はありません。
今すぐやること
-
1
対象製品と版を洗い出す
FTD、Cyber Vision、Snort 3、UTD SNORT IPS Engineを使っている機器を一覧にし、現在の版を記録します。
show version -
2
Ciscoのアドバイザリで対象版と修正版を確認
cisco-sa-hardening-snort3-ybgmhTQeを開き、自社の版が対象か、どの版へ上げればよいかを確認します。
-
3
修正版への更新を計画して実施する
境界に置かれた機器から優先して、検証環境での確認後に更新します。再起動や通信断が出る場合があるため、保守時間の調整が必要です。
-
4
更新までの間、監視を強める
対象機器の異常な再起動、検査エンジンの停止、不審なログがないかを確認し、必要なら監視の頻度を上げます。
-
5
オープンソース版を使う場合は更新元を確認
自前でSnort 3を運用している場合は、公開された強化版の入手先と自環境への反映手順を確認します。
snort -V
すぐ更新できないとき
回避策は公表されていません。修正版の適用が基本の対応です。すぐに更新できない場合は、対象機器の管理や検査経路へのアクセス元を必要最小限に絞り、ログ監視を強めて、早い時期の更新を計画してください。
背景
Snortは、ネットワークを流れる通信の中身を調べて、不正な通信を見つけたり遮断したりする侵入検知・防御ソフトです。Cisco製品では、ファイアウォールのIPS機能や、工場・インフラ向けのネットワーク監視、ルーターのIPS機能などの内部で動いています。社外から来る通信を最初に受けて中身を読む役割のため、ここに弱点があると影響が広がりやすい部分です。
通信を解析するソフトは、外部から届く想定外のデータを大量に処理します。そのため、メモリの範囲外書き込みのような、メモリの扱いに関する不具合が古くから繰り返し問題になってきました。今回は外部の攻撃報告ではなく、開発元の社内レビューで見つかったものを、被害が出る前にまとめて修正する取り組みの一環です。
よくある質問
Q.すでに攻撃に使われていますか。
Q.CVE番号がいくつもあるのはなぜですか。
Q.Snortを使っている自覚がなくても対象になりますか。
まだ分かっていないこと
- 対象となる具体的な版番号と、各製品の修正版の版番号は、ここでは示せません。Ciscoのアドバイザリで確認が必要です。
- 悪用に必要な具体的な条件と、成功した場合に実際に起きる被害の内容は公表されていません。
- 実際の攻撃での悪用の有無は、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Cisco | Cisco Cyber Vision | — | — |
| Cisco | Cisco Open Source Snort3 | — | — |
| Cisco | Cisco Secure Firewall Threat Defense (FTD) Software | — | — |
| Cisco | Cisco UTD SNORT IPS Engine Software | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco owned Open Source Snort 3 Software engineering team has conducted a comprehensive internal security review. This review resulted in software hardening releases that address multiple internally discovered vulnerabilities.
The vulnerabilities tracked by CVE-2026-20043 are related to issues concerning out-of-bounds writes that are grouped under the Common Weakness Enumeration (CWE) Base CWE-787.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- CISCO sec.cloudapps.cisco.com
- CISCO sec.cloudapps.cisco.com
- web psirt@cisco.com
- web nvd.nist.gov
- web github.com