Ciscoのワイヤレスコントローラー、細工した認証情報を用いる攻撃者を管理者として認証する脆弱性 3
ストーリー by headless
認証 部門より
認証 部門より
Cisco のワイヤレス LAN コントローラー製品で、特定の構成時に発生する脆弱性 (CVE-2022-20695) が発見され、修正版ソフトウェアがリリースされた
(セキュリティアドバイザリー、
The Register の記事)。
この脆弱性はパスワード検証アルゴリズムの不適切な実装が原因で、細工した認証情報を使用してログインを試みた攻撃者を管理者権限で認証してしまうというものだ。MAC フィルタリングの構成で RADIUS サーバーの種類に「その他」が選択されている場合のみ発生するという。脆弱性の影響を受けるのはワイヤレス LAN コントローラーソフトウェア 8.10.151.0 以降で、8.10.171.0 で修正されている。脆弱性は 5 製品で確認されており、別の 5 製品で脆弱性がないことが確認されているとのことだ。
この脆弱性はパスワード検証アルゴリズムの不適切な実装が原因で、細工した認証情報を使用してログインを試みた攻撃者を管理者権限で認証してしまうというものだ。MAC フィルタリングの構成で RADIUS サーバーの種類に「その他」が選択されている場合のみ発生するという。脆弱性の影響を受けるのはワイヤレス LAN コントローラーソフトウェア 8.10.151.0 以降で、8.10.171.0 で修正されている。脆弱性は 5 製品で確認されており、別の 5 製品で脆弱性がないことが確認されているとのことだ。
本物？偽物？ (スコア:0)
Cisco製品は精好な偽物が多いので、見た目や挙動が同じでも中身が別物なんてことも多いそうだ。
Re:本物？偽物？ (スコア:1)
本物よりも偽物のほうが高性能説
Re:本物？偽物？ (スコア:1)
Ciscoの真贋より精好という変換がどうやって出たのかの方がよほど気になる。