Cisco FWSMの脆弱性

ダウンロード オプション

  • PDF     (337.2 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (79.6 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (65.7 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2003 年 12 月 15 日
Document ID:SA219687

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

severity
severity
アドバイザリーID : cisco-sa-20031215-fwsm
初公開日 : 2003-12-15 16:00
バージョン 1.1 : Final
回避策 : No Workarounds available
Cisco バグ ID :
 

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

このアドバイザリでは、Cisco Catalyst 6500シリーズおよびCisco 7600シリーズ(FWSM)用のCisco Firewall Services Module(FWSM)に関する2つの脆弱性について説明しています。これらの脆弱性は、CSCeb16356(HTTP Auth)およびCSCeb88419(SNMPv3)として文書化されています。

CSCeb88419(SNMPv3)の影響を緩和する回避策があります。CSCeb16356（HTTP認証）の回避策はありません。

Cisco では、該当するお客様用に、この問題に対応するソフトウェアを無償で提供しております。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-fwsm で公開されています。

該当製品

脆弱性のある製品

該当するCisco FWSMソフトウェアを実行するすべてのCisco FWSMデバイスは、次に記載されているように、これらの脆弱性の影響を受けます。

  • CSCeb16356（HTTP認証）
    1.1.2 and earlier.
  • CSCeb88419(SNMPv3)
    1.1.2 and earlier.

Cisco PIX FirewallもSNMPv3の問題に対して脆弱であり、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-pixに記載されています。他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

使用しているソフトウェアリビジョンを確認するには、コマンドラインプロンプトでshow versionと入力します。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

  • CSCeb16356（HTTP認証）
    TACACS+またはRADIUSを使用した認証のためのHTTPトラフィック要求の処理中に、バッファオーバーフローの脆弱性が原因でCisco FWSMがクラッシュしてリロードする場合があります。この要求は、FTP、Telnet、またはWorld Wide Web(HTTP)経由で接続を開始するユーザにユーザ名とパスワードの入力を求めるプロンプトが表示されたときに開始されます。ユーザ名とパスワードが指定のTACACS+またはRADIUS認証サーバによって確認される場合、Cisco FWSMでは、認証サーバと接続の間のそれ以上のトラフィックが、Cisco FWSMの「カットスループロキシ」機能を介して個別に対話できます。
  • CSCeb88419(SNMPv3)
    Cisco FWSMでsnmp-server host <if_name> <ip_addr>またはsnmp-server host <if_name> <ip_addr> pollが設定されている場合、受信したSNMPv3メッセージの処理中にCisco FWSMがクラッシュしてリロードします。これは、Cisco FWSMがSNMPv3をサポートしていない場合でも発生します。
    snmp-server host <if_name> <ip_addr> trapコマンドを使用してトラップの生成と送信のみを行うように設定されているCisco FWSMには、脆弱性はありません。

『Internetworking Terms and Cisco Systems Acronyms』オンラインガイドは、http://www.cisco.com/univercd/cc/td/doc/cisintwk/から入手できます。

これらの脆弱性は、Bug ID CSCeb16356(HTTP Auth)およびCSCeb88419(SNMPv3)としてCisco Bug Toolkitに記載されています。このツールにアクセスするには、登録ユーザであり、ログインしている必要があります。

回避策

  • CSCeb16356（HTTP認証）
    回避策はありません。アップグレードしてください。
  • CSCeb88419(SNMPv3)
    次の 2 つの回避策が適用できます。
    • 脆弱性のあるイメージでCisco FWSMへのSNMPポーリングが必要な場合は、次のコマンドを使用して、信頼できるインターフェイスと信頼できるホストに対するSNMPサーバへのポーリングアクセスを制限できます。
      snmp-server host <if_name> <ip_addr> poll

      注：  上記のコマンドでpollキーワードまたはtrapキーワードが明示的に使用されていない場合、PollとTrapの両方が有効になります。上記のコマンドでは、送信元IPスプーフィングされたSNMP要求メッセージによってこの脆弱性が不正利用されることを防ぐことはできません。

    • 次の手順で、Cisco FWSMのSNMPサーバを無効にします。
      clear snmp-server（SNMPサーバのクリア）
      no snmp-server location
      no snmp-server contact
      snmp-server community public
      no snmp-server enable traps

      注：  Cisco FWSMでは、コミュニティストリングを完全に削除することはできません。常にpublicまたはユーザ設定文字列になります。show snmpを実行してもsnmp-server community publicが表示されますが、これはSNMPが有効であることを意味するものではありません。

    詳細については、http://www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/pix_sw/v_62/cmdref/s.htm#wp1026423を参照してください。

Cisco PSIRT では、該当ユーザが修正済みソフトウェア バージョンのコードにアップグレードすることを推奨しています。

修正済みソフトウェア

  • CSCeb16356（HTTP認証）
    1.1.3 以降.
  • CSCeb88419(SNMPv3)
    1.1.3 以降.

修正済みソフトウェアバージョンにアップグレードする手順の詳細については、http://www.cisco.com/univercd/cc/td/doc/product/lan/cat6000/mod_icn/fwsm/fwsm_1_1/fwsm112/admin.htm#wp1049356を参照してください。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

推奨事項

$propertyAndFields.get("recommendations")

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

URL

改訂履歴

リビジョン 1.1

2003-December-17

SNMPサーバを無効にする回避策にclear snmp-serverコマンドを追加。「SNMPv3の詳細と回避策」セクションに説明テキストを追加。

リビジョン 1.0

2003-December-15

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。