Ciscoは2026年10月21日、Snort 3に関する複数の脆弱性を公表しました。認証なしの遠隔攻撃で通信検査が中断する恐れがあるほか、Open Source Snort 3にはローカルから任意のコマンドを実行される欠陥もあります。製品名だけで判断せず、導入版と検査設定を脆弱性ごとに確認する必要があります。
通信検査を止める欠陥、製品と設定で対象が変わる
Ciscoがまとめて公表した4件は、DoSと呼ばれるサービス妨害につながる脆弱性です。認証不要の遠隔攻撃で検知エンジンが再起動し、パケットと呼ぶ通信データの検査が中断する恐れがあります。4件とも深刻度はMedium、深刻さの指標であるCVSS基本値は5.8です。
CVE-2026-20019は、細工したNetflowパケット1個で悪用できます。CVE-2026-20179はGRE、CVE-2026-20197はTeredoのパケット解析時の確認不足に起因します。CVE-2026-76489は、大量のファイル処理によってメモリを使い果たす恐れがあるものです。
4件は互いに独立し、リリースによって影響する欠陥が異なります。Ciscoは修正ソフトウェアを公開済みで、回避策はないとしています。Open Source Snort 3向けの初回修正版は3.12.4.0です。
別の告知では、メールのSMTP MIME処理と、VBAマクロ処理にもDoSの脆弱性が示されました。いずれもOpen Source Snort 3が対象です。Cisco Secure Firewall Threat Defense(FTD)では、SMTP MIMEの欠陥はSnort 3の使用時に影響します。VBAの欠陥は、Snort 3が有効で、少なくとも1つの検知器にVBAマクロ展開を設定している場合が対象です。この展開機能は7.2.0から対応し、初期状態では無効です。
ローカルからのコマンド実行も、別に確認が必要
Open Source Snort 3の制御チャネルソケットの欠陥は、設定にかかわらず影響します。認証済みの低権限ローカル攻撃者が、Snort 3を動かすユーザーの権限で任意のコマンドを実行できます。遠隔から認証なしで攻撃できるDoSの4件とは、攻撃条件が異なります。
この欠陥の初回修正版も3.12.4.0で、回避策はありません。Cisco PSIRTは公表時点で、悪用や外部での公表を把握していないとしています。この説明は制御チャネルの欠陥についてのもので、ほかの欠陥の悪用状況まで示すものではありません。
VBAの欠陥も、Open Source Snort 3では3.12.4.0が初回修正版です。IOS XEでは、17.12系は17.12.8、17.15系は17.15.6、17.18系は17.18.5、26.1系は26.1.2、26.2系は26.2.1が初回修正版です。これらを別の脆弱性の修正版として流用せず、告知ごとに照合してください。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Open Source Snort 3を使う会社です。制御チャネルの欠陥は設定を問わず影響します。DoSの4件については、Netflow接続を解析する設定が影響条件として示されています。
- 影響する: FTDでSnort 3によるNetflow接続の解析を設定している会社です。SMTP MIMEとVBAについても、それぞれの使用・設定条件を確認する必要があります。
- 影響する: Cisco MerakiのMX64、MX75、MX450などで脆弱なソフトウェアを使う会社です。DoSの4件の影響対象に含まれます。
- 影響しない: 対象ルーターでも、UTDを導入していない環境はDoSの4件の対象外です。UTDは標準では導入されません。
- 影響しない: Meraki製品はVBAの欠陥の影響を受けないと確認されています。ただし、DoSの4件まで対象外になるわけではありません。
- 影響しない: FTDでVBAマクロ展開を設定していない環境は、示されたVBAの影響条件には該当しません。ほかの欠陥は別に判定が必要です。
