重要な脆弱性情報 脆弱性の概要 CVE-2020-5483: CLI経由でシステムシェルへのアクセスや任意のコンド実行が可能になる。 CVE-2020-5484: 設定ファイルにパスワードが平文で保存されている。 CVE-2020-5485: API経由で制限されたユーザーにアクセス可能になる。 CVE-2020-5486: プロトコルを指定することでイメージ検証を回避できる。 影響を受けるソフトウェア Data Monitoring Fabric: DMF R1.7およびそれ以前のバージョン、UMF R3.5およびそれ以前のバージョン、DMF R4.5およびそれ以前のすべてのバージョン。 Converged Cloud Fabric: CCF 2.3.2およびそれ以降のすべてのバージョン。 Cloud Vision Appliance: CVA 7.0.xのすべてのバージョン。 Multi-Cloud Director: MCD 2.4.2およびそれ以降のすべてのバージョン。 影響を受けるプラットフォーム CloudVision Appliance (CVA): CloudVision Appliance 7.0.xソフトウェアを実行しているすべてのモデル。 Device Collector Appliance (DCA): DCA 200 CV。 Device Collector Appliance (DCA): DCA 250 CV。 Device Collector Appliance (DCA): DCA 200 CV。 Arista EOSベース製品: 710シリーズ、7200Rシリーズ、7280Rシリーズなど。 Arista vEOSベース製品: vEOS Edge、vEOS Cloud、vEOS Labなど。 悪用に必要な設定 CVE-2020-5483: 非管理者ユーザーがシステムにログインできること。 CVE-2020-5484: 非管理者ユーザーがシステムにログインできること。 CVE-2020-5485: ユーザーがREST APIへのアクセス権限を持っていること。 CVE-2020-5486: ユーザーがREST APIへのアクセス権限を持っていること。 侵害指標（IoC） CVE-2020-5483: コマンドの使用に関するログ記録。 CVE-2020-5484: 設定ファイル内にある平文のパスワード。 CVE-2020-5485: API経由で制限されたユーザーにアクセスしたログ。 CVE-2020-5486: 公開されたハッシュ値と一致しないダウンロードされたイメージ。 緩和策 CVE-2020-5483: アップグレードバージョンをインストールするまで、非管理者ユーザーのログインを禁止する。 CVE-2020-5484: アップグレードバージョンをインストールするまで、対象ユーザーのアクセスを無効化する。 CVE-2020-5485: アップグレードバージョンをインストールするまで、非管理者ユーザーのログインを禁止する。 CVE-2020-5486: ダウンロードされたイメージが公開されたハッシュ値と一致していることを確認する。 解決策 推奨されるソフトウェアバージョンにアップグレードする。