はじめに

サイバーセキュリティ・インフラセキュリティ庁（CISA）は、CiscoのIOSおよびIOS XEソフトウェアのSNMPサブシステムにおける重大な脆弱性が脅威アクターによって積極的に悪用されていることについて警告を発しました。この脆弱性「CVE-2025-20352」は、SNMP実装におけるスタックベースのバッファオーバーフローに関わるもので、CISAの既知の悪用済み脆弱性（KEV）カタログに正式に追加されました。ネットワーク防御者およびセキュリティチームは、この勧告を最優先事項として扱い、影響を受けるインフラを保護するための即時的な措置を講じるよう強く求められています。

脆弱性の詳細

Ciscoは2025年9月17日にCVE-2025-20352を初めて開示しました。これは、不正な形式のSNMPパケットがIOSおよびIOS XEの対象バージョンでスタックベースのバッファオーバーフローを引き起こす可能性があると説明されています。この脆弱性が悪用されると、2つの攻撃経路が生じます。

• 低権限の攻撃者は、デバイスを再起動させ、サービス拒否（DoS）状態を引き起こす可能性があります。
• 高権限の攻撃者は、ルートレベルの権限で任意のコードを実行し、システムを完全に制御する可能性があります。

この脆弱性は、CWE-121: Stack-based Buffer Overflowとして追跡されています。

実世界での悪用

セキュリティテレメトリーおよび脅威インテリジェンスフィードから、実世界での悪用の証拠が浮上しており、悪意のあるアクターが自動スキャンツールを利用してインターネットに公開されているSNMPエンドポイントを特定していることが示されています。特定の脅威グループやランサムウェアキャンペーンが排他的に責任を負っているかどうかは不明ですが、Ciscoのルーターやスイッチが企業およびサービスプロバイダーネットワークで広く普及していることを考えると、そのリスクプロファイルは重大です。

CISA KEVカタログへの追加

CISAがCVE-2025-20352をKEVカタログに含めたことは、敵対者によって武器化されている脆弱性に関する実用的なインテリジェンスを組織に提供するというCISAのコミットメントを強調しています。KEVカタログは、実際の攻撃で悪用が確認された脆弱性の決定的なリポジトリとして機能します。セキュリティチームは、KEVカタログを脆弱性管理プロセスに統合し、それを利用して優先順位付けとパッチ適用活動を推進することが推奨されます。

影響とリスク

• サービス拒否（DoS）：認証されていない攻撃者が特別に細工されたSNMPリクエストを送信することで、デバイスをクラッシュまたは再起動させ、ネットワークの可用性を妨害する可能性があります。
• リモートコード実行（RCE）：特権を持つ攻撃者、または以前の侵害によって昇格されたアクセス権を取得した攻撃者は、ルートユーザーとして任意のコードを実行し、ネットワークインフラの機密性、完全性、可用性を危険にさらす可能性があります。
• 潜在的な横方向の移動：一度制御が確立されると、攻撃者は内部リソースに侵入したり、追加のマルウェアを展開したり、機密データを外部に持ち出したりする可能性があります。

推奨される対策

Ciscoは、IOSおよびIOS XEのSNMPバッファオーバーフロー問題に対処するソフトウェアアップデートをリリースしています。管理者は、遅滞なく以下の手順を適用する必要があります。

• CVE-2025-20352に関するCiscoセキュリティアドバイザリを確認し、影響を受けるソフトウェアバージョンを特定します。
• ベンダー提供のパッチまたはソフトウェアリリースをダウンロードしてインストールします。
• 即時のパッチ適用が不可能な場合は、SNMPを無効にするか、アクセス制御リスト（ACL）を通じてSNMPアクセスを信頼できる管理ホストのみに制限します。
• アクティブな悪用試行を示す異常なSNMPトラフィックパターンがないか、ネットワークデバイスを監視します。
• CISAのBinding Operational Directive（BOD）22-01ガイダンスに従い、共有およびクラウドサービスのエンドポイント保護とログ記録要件を強制します。

サポートされていないレガシーハードウェアなど、緩和策が非現実的であることが判明した場合、組織は影響を受ける製品の使用を中止するか、ネットワークセグメンテーション、厳格なACL適用、帯域外管理などの堅牢な補償制御を実装することを検討する必要があります。

ネットワーク防御者への提言

KEVカタログを脆弱性管理フレームワークに統合することで、インフラが直面する最も重大な脅威に対する可視性が向上します。パッチサイクルとリスク評価をKEVエントリと連携させることで、チームはCVE-2025-20352のような影響の大きい脆弱性が即座に注目されることを確実にできます。ネットワーク構成の定期的な監査、最小特権の原則の適用、最新のファームウェアの維持は、不可欠なベストプラクティスです。

効果的なインシデント対応計画には、DoSおよびRCEシナリオのプレイブックを含め、CiscoサポートおよびCISAリソースへの明確なエスカレーションパスを設ける必要があります。セキュリティ運用、ネットワークエンジニアリング、および上級管理職間の協力は、迅速な修復のためのリソースを割り当てる上で不可欠です。

結論

CVE-2025-20352がCISAのKEVカタログに追加されたことは、ネットワークインフラを標的とする脅威ランドスケープが進化していることを示しています。デバイスを積極的に更新し、厳格なSNMP制御を強制し、信頼できる脆弱性インテリジェンスを活用する組織は、これらの高深刻度攻撃への露出を大幅に減らすことができます。

---

元記事: https://gbhackers.com/cisco-ios-ios-xe-snmp-vulnerabilities-exploited-in-ongoing-attacks-warns-cisa/