ネットワークコントローラー内に侵入したマルウェアによって、拠点間トラフィックを保護する秘密情報が攻撃者の手に届く可能性がある。
Cisco Talosは10月28日、過去のKeyDriftの活動に関する分析を公開し、攻撃者がCisco Catalyst SD-WANの認証の不備を悪用した後に展開したマルウェアフレームワークについて説明した。研究者らは、このマルウェアがアクセスを維持し、暗号鍵マテリアルを収集する目的で設計されたと評価している。確認された標的には、衛星サービス、防衛、航空宇宙、政策研究の各組織が含まれていた。
この調査結果は、セキュリティチームに2つの疑問を突き付ける。脆弱なコントローラーに修正プログラムが適用されたか、そして適用前に攻撃者がアクセスを確立していたか、という点だ。
ネットワークコントローラー内でのKeyDriftの動作
Cisco Talosの調査によると、UAT-11473として追跡されているグループはCVE-2026-20127を悪用してKeyDriftをインストールした。
そのPolyFlameコンポーネントは正規のコントローラープロセス内で動作し、バックドアコマンドをサポートする。別のコンポーネントであるLittleFilchは、復号された制御メッセージを調べ、TalosがSD-WANのデータトラフィックの保護に使われるAES-256 IPsec鍵マテリアルと評価する情報を抽出する。収集した情報は暗号化して保存でき、外部に送信することも可能だ。
Talosは、これらの攻撃を過去のものと説明している。Volt TyphoonのSilent Trainネットワークとのインフラ重複に関する評価からは、UAT-11473とVolt Typhoonが同一の攻撃者であるとは確認できない。
より広範な管理システムのリスクは、 Arista VeloCloud Orchestratorの脆弱性を悪用する攻撃にも表れている。この脆弱性によって、ポータルへの限定的なアクセスが、特権オペレーターによる制御に変わる可能性がある。これは別の脆弱性およびインシデントである。
根本にあるCiscoの脆弱性には、すでにパッチが提供されている
CiscoはCVE-2026-20127を2月に初めて開示した。その セキュリティアドバイザリでは、認証バイパスの深刻度を10.0と評価し、影響を受けるController、Manager、Validatorソフトウェアを列挙している。
認証されていないリモート攻撃者は、管理者権限を取得できる。影響を受けるControllerでは、そのアクセスに、NETCONFを通じてSD-WAN構成を操作できる、特権付きの非rootアカウントも含まれる。
Ciscoは修正プログラムをリリースし、脆弱性を解消する回避策はないとしている。管理者は、各制御コンポーネントにインストールされたリリースをアドバイザリの修正済みソフトウェア一覧と照合し、アップグレード前に互換性を確認すべきだ。
別途、 Cisco Merakiのセキュリティアップデートには、独自の影響対象製品とファームウェア要件がある。Merakiのアップデートを完了したからといって、Catalyst SD-WANコントローラーが修正済みだとは限らない。
対応を終了する前に管理者が確認すべきこと
Ciscoは、vmanage-adminアカウントに関係する予期しない公開鍵ログインがないか/var/log/auth.logを確認し、送信元IPアドレスをSD-WAN Managerで設定されたシステムIPと照合するよう推奨している。また、制御接続のピアリングイベントを、許可されたIPアドレス、デバイスの役割、メンテナンス時間帯、変更記録と照合して検証することも求めている。
これらの確認には、担当者と文書化された結果が必要だ。有効なレビューでは、どのコンポーネントが公開されていたか、いつパッチが適用されたか、そして利用可能なログが修正前の期間をカバーしているかを明らかにすべきである。見つからない証拠は可視性の欠落として記録し、検索結果が空だったことを安全の証明とみなしてはならない。
運用上可能な場合は、変更を加える前に関連する証拠を保全する。不審なアクセスが確認された場合は、インシデント対応担当者とCiscoサポートを関与させ、影響範囲と復旧手順を特定する。拠点間接続を妨げたり、証拠を不明瞭にしたりする恐れのある、個別的な構成変更は避けるべきだ。
アクセス制限については、別途レビューする必要がある。Ciscoの SD-WAN強化ガイドは、信頼できる送信元にアクセスを限定し、管理インターフェースを外部公開のトランスポートインフラから分離するよう推奨している。
マネージドサービスを利用している企業は、プロバイダーに対し、コンポーネント単位のパッチ適用状況と、侵害の確認結果を尋ねるべきだ。「ネットワークは更新済み」という一般的な説明だけでは、重要な疑問が残る。
調査によって秘密情報の流出が示された場合は、封じ込めおよび復旧と連携して、秘密情報の交換を進める。別途、 漏えいしたまま有効だったAWSキーの発見は、元の露出を解消することと、影響を受けた認証情報を無効化することが別々の作業である理由を示している。AWSの認証情報とSD-WANの暗号鍵では、復旧手順が異なる。
したがって、対応では2つの結論を出す必要がある。脆弱なソフトウェアが修正されたことを示す証拠と、不正アクセスが発生したかどうかの評価だ。アップグレードが成功すれば、最初の疑問には答えられる。2つ目には調査が必要になる。
続きを読む：スイッチングインフラにもネットワークセキュリティレビューを拡張し、 5つの重大なCisco Nexusの脆弱性、影響を受ける構成、緩和策。