Cisco IOS XE：Web UIを介したCLI操作

何が起きたか・対象

Cisco IOS XEのWeb管理画面に、認証済み利用者が攻撃者の用意したリンクを開くと、その利用者の権限でCLI操作を実行させられるCSRFがありました。識別子はCVE-2024-20437です。 CLIは機器へコマンドを渡して操作するインターフェースです。Web管理側が受けた操作を機器のCLIコマンドとして実行すると、ログイン中の利用者に許可された設定変更まで行われるおそれがあります。

リンクを開いたブラウザから機器へ操作のHTTPリクエストが送られ、Web管理側が、本人の選んだ正規操作かを十分検証せずCLIへ渡す問題です。対象利用者に設定変更の権限があれば、その範囲の変更を意図せず実行されるおそれがあります。

脆弱な版だけでなく、HTTP Serverとservice internal、資料に示されたセッションモジュールの設定、ログイン済み利用者のリンク操作が条件です。具体的なリクエスト形式やCookie・トークンの実装は公開資料で確認できず、一般的なCSRFの例から補って製品の事実としません。

設定条件は、Web UIを提供するHTTP Serverと、既定では無効なservice internalデバッグ設定が有効であることです。さらにCiscoは、HTTPでip http active-session-modules noneが設定されていればHTTP経由では、HTTPSでip http secure-active-session-modules noneが設定されていればHTTPS経由では悪用できないとしています。細かな内部動作を推測せず、実際の機器の設定と公式のAffected Products欄を照合します。

報告・修正・公開の時系列

Ciscoは2024-09-25にアドバイザリを公表し、修正ソフトウェアを案内しています。発見日や修正コミットは、この資料からは確認できません。

正常ならどう動くはずだったか

機器の管理画面では、HTTPリクエストが誰のログイン状態で送られたかと、その人が正規画面から管理操作を選んだかを分けて検証する必要があります。ブラウザが認証済みセッションの情報をリクエストへ付けても、外部ページから送信させられた操作である可能性は残ります。具体的なセッションの送信形式は、機器の公開資料で確認した範囲を超えて仮定しません。

一般的な考え方では、正規画面へだけ渡した予測困難な値を操作要求にも含め、サーバーがセッションと照合する方法があります。ログイン情報はブラウザが自動で付けても、別サイトのページはこの値を読めないという条件を利用します。これはCSRF対策の説明であり、Cisco製品がこの方式を採用したという確認ではありません。

技術的な原因

Ciscoは、Web管理インターフェースのCSRF対策が不十分だったと説明しています。攻撃者のリンクを認証済み利用者が開くと、機器へ送られた操作のHTTPリクエストを、その利用者が意図した正規操作から区別できず、CLIへ渡してしまう問題です。どのヘッダーやトークンの検査が欠けたかは、資料から断定できません。

攻撃が成立する条件と流れ

攻撃者は機器へ操作リクエストを送らせるリンクを用意し、Web管理画面へログインしている利用者に開かせます。利用者のブラウザから届いた要求を機器がその認証済み利用者の操作として処理し、CLI操作を実行する流れです。

対象版に加え、HTTP Server機能とservice internalが有効であることが条件です。HTTP/HTTPSの該当セッションモジュール設定による条件もCisco資料で確認します。攻撃者自身はログイン不要ですが、被害者のログインとリンク操作を省略して成立する攻撃ではありません。

確認された事実と、想定される影響

Ciscoは、成功時には対象利用者の権限で機器のCLI操作を実行できると説明しています。説明用の影響例では、その利用者に設定変更の権限があれば、通信を扱う設定などを本人の意図と異なる値へ変えるおそれがあります。変更内容によっては利用者が機器を使えなくなる可能性がありますが、特定の停止コマンドや実被害はこの資料で確認したものではありません。

攻撃者自身の機器へのログインは不要でも、認証済み利用者がリンクを開く操作と、対象の機能・設定が条件です。Ciscoが公表時点で悪用を把握していないとした記載だけでは、その後の悪用の有無は判断できません。

実際の修正・対応方針

Ciscoはソフトウェア更新で対応しています。系列ごとの修正リリースはアドバイザリのFixed Softwareで確認します。具体的な検証処理の変更差分はここでは確認できず、一般的なCSRFトークン対策を実修正と断定しません。

利用者・運用者が確認すること

利用リリース、HTTP Server、service internal、セッションモジュールの設定を確認して修正済み版を適用します。管理画面へ接続できる範囲も制限しますが、これは管理画面へ接続できる範囲を狭める運用で、更新の代替にはなりません。

開発者への教訓（教材としての考察）

機器の脆弱性では、設定で有効になる管理機能と、誘導される利用者の権限が被害を決めます。「未認証の攻撃者が可能」という説明にも、必要な利用者操作を添える必要があります。

出典・確認範囲

[1] Cisco IOS XE Software Web UI Cross-Site Request Forgery VulnerabilityCisco / 確認日 2026-10-29

未確認事項・限界

参照資料では実悪用や実際の被害件数を確認できません。未記載の実装差分は推測していません。