Cisco ASA・FTDのSSL VPNに停止の脆弱性、悪用を確認
Cisco Secure Firewall ASAとFTDのSSL VPN機能に、認証なしで装置を再起動させられる脆弱性が見つかり、実際の攻撃での悪用も確認されています。ASAかFTDでリモートアクセスVPNを公開している組織が対象です。自社の構成が当てはまるかを確認し、Ciscoのアドバイザリに沿って修正版へ更新してください。
急ぎ度: 至急
KEVに登録されて実際の悪用が確認されており、CVSS v3は8.6、認証不要でインターネット側から届くVPN機能が対象だからです。
関係があるか
Cisco Secure Firewall ASAまたはFTDでRemote Access SSL VPNを動かしている組織が対象です。とくに、トンネルグループにセカンダリ認証（二段階目の認証）を設定している環境は要確認です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Cisco Secure Firewall Adaptive Security Appliance (ASA) Software | Remote Access SSL VPNを有効にし、トンネルグループにセカンダリ認証を設定している構成。影響する版の範囲は、Ciscoのアドバイザリ（cisco-sa-asaftd-tunnel-dos-s6mgkb75）で確認してください。 | 版ごとの修正版は、Ciscoのアドバイザリで確認してください。 |
| Cisco Secure Firewall Threat Defense (FTD) Software | ASAと同じ条件の構成。影響する版の範囲は、Ciscoのアドバイザリで確認してください。 | 版ごとの修正版は、Ciscoのアドバイザリで確認してください。 |
確かめ方
- 1自社のファイアウォールがASAかFTDかを台帳で確認し、動作中のソフトウェアの版を調べます。ASAではCLIで
show versionを実行すると版が出ます。FTDは管理用のFMCかFDMの画面で確認できます。 - 2リモートアクセスVPNでSSL接続を受け付けているかを確認します。社外からのVPNを別の装置で受けているなら、この脆弱性の対象外です。
- 3VPNのトンネルグループにセカンダリ認証が設定されているかを調べます。ASAでは
show running-config tunnel-groupで設定を表示でき、FTDではFMCかFDMのリモートアクセスVPNの設定画面で確認できます。 - 4版と構成が当てはまる装置は、Ciscoのアドバイザリで修正版の有無を照合します。
何が起きたか
Cisco Secure Firewall ASAとFTDのSSL VPN機能に、ログインしていない外部の第三者が装置を予期せず再起動させられる脆弱性があります。再起動のあいだは、VPNだけでなく、その装置を通る通信も止まるおそれがあります。
この脆弱性は、実際の攻撃で悪用されたことが確認されています。
Ciscoの説明では、原因はトンネルグループにセカンダリ認証を設定したときの処理の論理的な誤りです。分類はCWE-690で、処理の戻り値を確認しないまま使い、存在しない参照先（NULLポインター）を読もうとして装置が再起動する、というものです。
被害は可用性に限られ、情報の漏えいや設定の改ざんは評価されていません。ただし、社外から社内へ入る入口が止まる影響は、業務にとっては小さくありません。
攻撃の流れ
-
1
VPNへ接続
攻撃者が、インターネット側に公開されたSSL VPNの受付口へ接続します。
-
2
細工した要求
接続の際に、セカンダリ認証の処理を狙った要求を送ります。
-
3
処理の失敗
装置内部で戻り値の確認漏れが起き、処理が異常終了します。
-
4
装置が再起動
ASAまたはFTDが再起動し、VPNと装置を通る通信が一時的に止まります。
どう悪用されるか
攻撃者に認証は要りません。ネットワーク経由で、SSL VPNの接続を受け付けている装置へ要求を送るだけで成立し、利用者の操作も不要です。装置側の前提は、Remote Access SSL VPNが動いていて、トンネルグループにセカンダリ認証が設定されていることです。
悪用されると装置が再起動し、サービス拒否の状態になります。再起動の間は、リモートで働く人のVPN接続が切れ、装置を経由する通信にも影響が出ます。CVSSのベクターでも、機密性と完全性への影響は無し、可用性への影響は高と評価されています。
今すぐやること
-
1
対象の装置を洗い出す
ASAとFTDの全台について、版、SSL VPNの有無、トンネルグループのセカンダリ認証の設定を確認します。インターネットに面している装置から先に見ます。
show version -
2
修正版に更新する
Ciscoのアドバイザリで自社の版に対応する修正版を確認し、更新します。KEVでは、米国の政府機関に対して2026年11月1日までの対応が求められています。公開から日が浅く、民間でも同じ水準で急ぐのが妥当です。
-
3
再起動の履歴を調べる
公開済みのVPN装置で、原因の分からない再起動がなかったかをログと稼働時間から確認します。すでに狙われている可能性があるため、気づいた時点で調査対象にします。
show version -
4
VPN停止時の連絡体制を決める
更新作業の停止時間や、攻撃で再起動が起きた場合に備えて、社内への連絡先と代替手段を決めておきます。
すぐ更新できないとき
Ciscoが回避策を案内しているかは、アドバイザリで確認してください。以下は一般的な軽減策で、Ciscoが示したものではありません。SSL VPNの受付元をファイアウォールやアクセスリストで利用者の拠点や既知のIPに絞れる環境なら、更新までの間、露出を減らせます。ただし、完全な対策ではないため、修正版への更新は進めてください。
背景
ASAとFTDは、社内ネットワークの境界でファイアウォールとVPNの出入口を兼ねる装置です。Remote Access SSL VPNは、在宅勤務や外出先から社内に入る経路として使われ、インターネットから誰でも接続を試せる位置に置かれます。そのため、認証の前段で動く処理に欠陥があると、利用者のIDを持たない相手にも届きます。
ASAやFTDのVPN機能の脆弱性は、過去にも実際の攻撃で悪用され、米CISAが対応を求めたことがあります。今回は情報の窃取ではなく装置の停止が主な影響ですが、境界の装置が止まると、VPN利用者の業務が止まります。セカンダリ認証は多要素認証などの強化のために設ける設定であり、守りを固めた構成が条件になっている点が、この脆弱性の特徴です。
よくある質問
Q.セカンダリ認証を使っていなければ、対応は不要ですか。
Q.情報が盗まれる脆弱性ではないなら、後回しでもよいですか。
まだ分かっていないこと
- 攻撃の規模、攻撃者、狙われた業種や地域は公表されていません。ランサムウェア攻撃での利用も、KEVでは不明とされています。
- 具体的な版番号の範囲と修正版、回避策の有無は、Ciscoのアドバイザリで確認する必要があります。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Cisco | Cisco Secure Firewall Adaptive Security Appliance (ASA) Software | — | — |
| Cisco | Cisco Secure Firewall Threat Defense (FTD) Software | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability in the Remote Access SSL VPN service of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to cause the device to reload unexpectedly, resulting in a denial of service (DoS) condition. This vulnerability is due to logic errors when secondary authentication is configured on a tunnel group. An attacker could exploit this vulnerability by sending a crafted request when connecting to the SSL remote access VPN. A successful exploit could allow the attacker to cause the affected device to reload, resulting in a DoS condition.
出典: Cisco Security Advisories NVD GitHub Advisory CISA KEV
参照URL
- CISCO sec.cloudapps.cisco.com
- web sec.cloudapps.cisco.com
- web nvd.nist.gov
- web github.com
- web cisa.gov