Cisco PIXの脆弱性

このアドバイザリでは、Cisco PIX Firewallに関する2つの脆弱性について説明しています。これらの脆弱性は、CSCeb20276(SNMPv3)およびCSCec20244(VPNC)として文書化されています。

CSCeb20276(SNMPv3)の影響を緩和する回避策があります。CSCec20244(VPNC)の回避策はありません。

このアドバイザリは https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-pix に掲載されています。

このセクションでは、これらの脆弱性に関する詳細情報を提供します。

• CSCeb20276(SNMPv3)
  Cisco PIX Firewallでsnmp-server host <if_name> <ip_addr>またはsnmp-server host <if_name> <ip_addr> pollが設定されている場合、受信したSNMPv3メッセージの処理中にCisco PIX Firewallがクラッシュしてリロードします。これは、Cisco PIX FirewallがSNMPv3をサポートしていない場合でも発生します。
  snmp-server host <if_name> <ip_addr> trapコマンドを使用してトラップの生成と送信のみを行うように設定されているCisco PIX Firewallには、脆弱性はありません。
  
• CSCec20244(VPNC)
  特定の条件下では、別のIPSecクライアントがVPN Clientに設定されたCisco PIX Firewallの外部インターフェイスに対してIKEフェーズIネゴシエーションを開始しようとすると、確立されたVPNC IPSecトンネル接続がドロップされます。
  この脆弱性の影響を受けるのは、VPN Clientとして設定されているCisco PIX Firewallのみです。この不安定な状態から回復するには、PIXが設定されたVPN Clientのデバイスのリロードが必要です。ヘッドエンドVPNコンセントレータで必要なアクションはありません。
  Easy VPNまたはezVPNとも呼ばれるVPNC接続は、Cisco PIXファイアウォールがVPNサーバに接続するためのVPNクライアントとして使用される場合に作成されます。IKEフェーズIネゴシエーションは、IPSecセッションを確立するための手順です。
  CSCec20244では、6.2(3.100)以降のソフトウェアリリースでこの問題が解決されています。
  

『Internetworking Terms and Cisco Systems Acronyms』オンラインガイドは、http://www.cisco.com/univercd/cc/td/doc/cisintwk/から入手できます。

これらの脆弱性は、Bug ID CSCeb20276(SNMPv3)およびCSCec20244(VPNC)としてCisco Bug Toolkitに記載されています。このツールにアクセスするには、登録ユーザであり、ログインしている必要があります。

このセクションでは、次の脆弱性の回避策について説明します。

• CSCeb20276(SNMPv3)
  次の 2 つの回避策が適用できます。
  - PIXへのSNMPポーリングが脆弱なイメージで必要な場合は、次のコマンドを使用して、SNMPサーバへのポーリングアクセスを信頼できるインターフェイスと信頼できるホストに制限できます。
  snmp-server host <if_name> <ip_addr> poll
  

  注：  上記のコマンドでpollキーワードまたはtrapキーワードが明示的に使用されていない場合、PollとTrapの両方が有効になります。上記のコマンドでは、送信元IPスプーフィングされたSNMP要求メッセージによってこの脆弱性が不正利用されることを防ぐことはできません。ソフトウェアバージョン6.0より前では、snmp-server host <if_name> <ip addr> コマンドにPollキーワードとTrapキーワードがないため、ポーリングとトラップの機能を選択的に有効にできません。

  - Cisco PIXファイアウォールで次のようにSNMPサーバを無効にします。
  clear snmp-server（SNMPサーバのクリア）
  no snmp-server location
  no snmp-server contact
  snmp-server community public
  no snmp-server enable traps
  

  注：  Cisco PIXファイアウォールでは、コミュニティストリングを完全に削除することはできません。常にpublicまたはユーザ設定文字列になります。show snmpを実行してもsnmp-server community publicが表示されますが、これはSNMPが有効であることを意味するものではありません。

  詳細については、http://www.cisco.com/en/US/docs/security/pix/pix62/command/reference/s.html#wp1026423を参照してください。
  
• CSCec20244(VPNC)
  回避策はありません。アップグレードしてください。
  

Cisco PSIRT では、該当ユーザが修正済みソフトウェア バージョンのコードにアップグレードすることを推奨しています。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

• CSCeb20276(SNMPv3)
  6.3.2以降、6.2.3以降、6.1.5以降。
  
• CSCec20244(VPNC)
  6.3.1以降、6.2(3.100)以降。
  

修正済みソフトウェアバージョンにアップグレードする手順の詳細については、http://www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/pix_sw/index.htmを参照してください。

このアドバイザリで説明されている脆弱性の公表や悪用に関する情報は Cisco PSIRT には寄せられていません。

CSCeb20276(SNMPv3)は、Rasto Rickardt氏によってPSIRTに報告されました。