PROTOS IPSecテストスイートによって発見された複数の脆弱性

複数のシスコ製品に、IPSec IKE(Internet Key Exchange)メッセージの処理に関する脆弱性が存在します。これらの脆弱性は、University of Oulu Secure Programming Group(OUSPG)のIPSec向け「PROTOS」テストスイートによって特定されており、繰り返し不正利用されてサービス拒否が引き起こされる可能性があります。

シスコでは、該当するお客様用に、この脆弱性に対応する無償ソフトウェアを提供しております。ソフトウェアを配備する前に、メンテナンス プロバイダーと相談するか、機能セットの互換性や環境固有の既知の問題などがないかどうかを確認することを推奨いたします。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20051114-ipsec で公開されています。

IPセキュリティ(IPSec)は、IPパケットの暗号化および認証済み送信をサポートするためにIETFによって標準化されたプロトコルのセットです。IPSecは、バーチャルプライベートネットワーク(VPN)で一般的に使用されるプロトコルです。

インターネットキーエクスチェンジ(IKE)プロトコルは、IPSecセキュリティアソシエーション(SA)のキー生成情報のネゴシエーションに使用され、ピアの認証を提供します。

IPSecの詳細については、IETF Request For Comments(RFC)2401を参照してください。

http://www.ietf.org/rfc/rfc2401.txt

IKEの詳細については、IETF Request For Comments(RFC)2408および2409を参照してください。

http://www.ietf.org/rfc/rfc2408.txt

http://www.ietf.org/rfc/rfc2409.txt

IPSecは一般的に2つのケースで使用されます。

1つ目のケースはLAN-to-LAN VPNの動作で、2つのデバイスがIPSecトンネル経由で2つのリモートLANを接続するためにデバイス間でIPSec接続をネゴシエートします。この場合、IPSec接続をネゴシエートするデバイスには通常スタティックIPアドレスが割り当てられており、トンネルを通過する必要のあるトラフィックが存在する限り、IPSecトンネルはアップしています。

2つ目のケースは、リモートアクセス(RA)VPNです。これは通常、リモートクライアントがセキュアなネットワークまたはサービスに接続できるようにするために使用されます。一般的な例として、オフィスから離れた場所から企業ネットワークに接続しているユーザが挙げられます。このシナリオでは、リモートユーザはどこからでも接続でき、ユーザのIPアドレスは静的ではなく、トランスポートプロバイダーを介して動的に割り当てられます。

IKEは、IPSec接続を確立するための要件ではありません。要件と関係するデバイスによっては、SA情報を静的に設定し、IKEを無効にすることができます。RA VPNの場合、IPSec接続が確立される前にユーザのIPアドレスが不明であるため、このタイプの設定は不可能な場合があります。詳細については、「回避策」のセクションを参照してください。

IPSec用のPROTOSテストスイートは、不正なIKEメッセージをターゲットデバイスに送信することによって、IPSec実装の設計上の制限をテストするように設計されています。

特定の不正なパケットを受信すると、脆弱なシスコデバイスがリセットされ、一時的なDenial of Service(DoS)が引き起こされる可能性があります。

特定された脆弱性は、IKEのOUSPG「PROTOS」テストスイートを使用して簡単かつ繰り返し再現できます。このスイートは、IKEメッセージを処理する実装の設計上の制限をテストするように設計されています。

Cisco IOSに関するその他の詳細情報

このアドバイザリで説明されている脆弱性は、IOSバージョン12.3(4)Tで発生し、12.3T、12.4、12.4T、および12.2SXDのバージョンに存在します。

IOSバージョン12.3(8)Tよりも前のバージョンでは、IKEはデフォルトで有効になっており、IOSデバイスがIKEメッセージを処理するために必要な暗号設定はありませんでした。

Cisco IOS の 12.2SXD バージョンでは、IKE がデフォルトで有効になっています。IKE 処理を確実に無効にするには、グローバル設定コマンド no crypto isakmp enable を入力します。

IOSバージョン12.3(8)T以降（すべての12.4ベースのバージョンを含む）、IKEメッセージ処理を有効にするには暗号化設定が必要です。

IOSデバイスでIKEパケットを処理するには、クリプトマップを設定してインターフェイスに適用する必要があります。

Cisco PIXの詳細

Cisco PIXでは、どのバージョンのソフトウェアでも、デフォルトでIKE処理は有効になりません。

7.0よりも前のCisco PIXバージョンでは、次のコマンドを使用して、IKEメッセージ処理が有効になっているかどうかを確認します。

show isakmp enable

次の例は、外部インターフェイスでIKEが有効になっている場合の出力を示しています。

pixfirewall(config)# show isakmp enable
isakmp enable outside

次の例は、IKEがどのインターフェイスでも有効になっていない場合の出力を示しています。

pixfirewall(config)# show isakmp
pixfirewall(config)#

Cisco PIX/ASAバージョン7.0以降では、次のコマンドがデバイス設定に含まれている場合にのみ、IKEが有効になります。

isakmp enable

CiscoワイヤレスLANコントローラの追加詳細

CiscoワイヤレスLANコントローラでは、デフォルトではいずれのバージョンのソフトウェアでもIKEメッセージ処理が有効になっておらず、IPsecおよびIKEメッセージ処理を設定するには、コントローラにCrypto Accelerator(CRYPTO)カードが存在している必要があります。

CLIプロンプトからIKEメッセージ処理が有効になっているかどうかを確認するには、次のコマンドを発行します。

show wlan <wlan identifier>

IKEメッセージ処理が有効になっているシステムでは、IP Securityフィールドが「Enabled」とマークされ、show wlan <wlan ID>の出力にIKE設定情報が示されます。

次の例は、WLAN 1でIKEメッセージ処理が有効になっている場合の出力を示しています。

(WLC) >show wlan 1

WLAN Identifier.................................. 1
Network Name (SSID).............................. mobile
Status........................................... Enabled
MAC Filtering.................................... Disabled
Broadcast SSID................................... Enabled
AAA Policy Override.............................. Disabled
Network Access Control........................... Disabled
Number of Active Clients......................... 1
Exclusionlist Timeout............................ 60 seconds
Session Timeout.................................. Infinity
Interface........................................ management
DHCP Server...................................... 10.1.1.3
DHCP Address Assignment Required................. Enabled
Quality of Service............................... Silver (best effort)
WMM.............................................. Disabled
802.11e.......................................... Disabled
Dot11-Phone Mode (7920).......................... Disabled
Wired Protocol................................... None
IPv6 Support..................................... Disabled
Radio Policy..................................... All
Security
   802.11 Authentication:........................ Open System
   Static WEP Keys............................... Disabled
   802.1X........................................ Disabled
   Wi-Fi Protected Access (WPA1)................. Disabled
   Wi-Fi Protected Access v2 (WPA2).............. Disabled
   IP Security................................... Enabled
        Authentication:................................. HMAC-SHA-1
        Encryption:..................................... 3DES
        AH:............................................. Disabled (not changeable)
        IKE Authentication:............................. Pre-Shared-Key
             Pre-Shared Key Length:..................... 8 bytes
        IKE Diffie Hellman Group:....................... DH Group 2 (1024 bits)
        IKE Phase 1 Mode:............................... Aggressive
        PFS Key Mode:................................... Disabled (not changeable)
        IKE Timeout:.................................... 57600 seconds
 
   IP Security Passthru.......................... Disabled
   L2TP.......................................... Disabled
   Web Based Authentication...................... Disabled
   Web-Passthrough............................... Disabled
   Auto Anchor................................... Disabled
   Cranite Passthru.............................. Disabled
   Fortress Passthru............................. Disabled

IKEメッセージ処理が有効になっていないシステムでは、IP Securityフィールドが「Disabled」とマークされ、show wlan <wlan ID>の出力にIKE設定情報は表示されません。

次の例は、IKEメッセージ処理がどのWLANインターフェイスでも有効になっていない場合の出力を示しています。

(WLC) >show wlan 1

WLAN Identifier.................................. 1
Network Name (SSID).............................. Airespace1
Status........................................... Disabled
MAC Filtering.................................... Disabled
Broadcast SSID................................... Enabled
AAA Policy Override.............................. Disabled
Network Access Control........................... Disabled
Number of Active Clients......................... 0
Exclusionlist Timeout............................ 60 seconds
Session Timeout.................................. 1800 seconds
Interface........................................ management
DHCP Server...................................... Default
Quality of Service............................... Silver (best effort)
WMM.............................................. Disabled
802.11e.......................................... Disabled
Dot11-Phone Mode (7920).......................... Disabled
Wired Protocol................................... None
IPv6 Support..................................... Disabled
Radio Policy..................................... All
Security
   802.11 Authentication:........................ Open System
   Static WEP Keys............................... Disabled
   802.1X........................................ Enabled
        Encryption:..................................... 104-bit WEP
   Wi-Fi Protected Access (WPA1)................. Disabled
   Wi-Fi Protected Access v2 (WPA2).............. Disabled
   IP Security................................... Disabled
   IP Security Passthru.......................... Disabled
   L2TP.......................................... Disabled
   Web Based Authentication...................... Disabled
   Web-Passthrough............................... Disabled
   Auto Anchor................................... Disabled
   Cranite Passthru.............................. Disabled
   Fortress Passthru............................. Disabled

Cisco Bug ID

Cisco Bug IDと対応する製品を次に示します。

• 12.2SX、12.3T、12.4および12.4Tに基づくCisco IOSバージョン：CSCed94829(登録ユーザ専用)
  
• 6.3(5)よりも前のバージョンのCisco PIX Firewall - CSCei14171( 登録ユーザ専用)
  
• 7.0.1.4よりも前のバージョンのCisco PIX Firewall/ASA - CSCei15053(登録ユーザ専用)
  
• Cisco Firewall Services Module(FWSM)バージョン2.3(3)より前（ただし、これを含まない）:CSCei19275(登録ユーザ専用)
  
• 4.1(7)Hおよび4.7(2)Bよりも前のバージョンのCisco VPN 3000シリーズコンセントレータ：CSCsb15296(登録ユーザ専用)
  
• Cisco MDSシリーズSanOSバージョン2.1(2)よりも前のバージョン：CSCei46258(登録ユーザ専用)
  
• 3.2.78.0までのCisco Wireless LAN Controller(CSCsc75655(登録ユーザ専用)
  

回避策の効果は、製品の組み合わせ、ネットワークトポロジ、トラフィックの動作、組織のミッションなど、お客様の状況によって異なります。該当する製品とリリースは多岐に渡るので、サービス プロバイダーやサポート機関に連絡し、ネットワーク内で使用するのに最も適した回避策を確認してから、実際に配備することを推奨いたします。

IPSecを使用しているが、接続の確立にIKEを必要としないお客様の場合、IPSec接続情報を手動で入力し、IKEを無効にすることで、この問題を回避できます。

注：IPSec情報の設定は複雑になる可能性があるため、ほとんどのお客様にとってこれは実行可能な代替手段ではない可能性がありますが、ここでは完全に説明します。スタティックIPSec設定の詳細については、製品のマニュアルを参照してください。

IKEメッセージの制限

IPSecデバイスにIKEトラフィックを送信できるデバイスを制限することで、この脆弱性の影響を緩和できます。IKEトラフィックはスプーフィングされた送信元アドレスから送信される可能性があるため、アクセスコントロールリスト(ACL)とアンチスプーフィングメカニズムを組み合わせて使用するのが最も効果的です。

アンチスプーフィング

Unicast Reverse Path Forwarding（ユニキャストRPF）機能は、スプーフィングされたIP送信元アドレスによって引き起こされる問題の緩和に役立ちます。シスコのルータおよびファイアウォールで使用できます。詳細については、次を参照してください。

http://www.cisco.com/univercd/cc/td/doc/product/software/ios122/122cgcr/fsecur_c/fothersf/scfrpf.htm

Unicast Reverse Path Forwarding(uRPF)を有効にすると、スプーフィングされたすべてのパケットは最初のデバイスでドロップされます。uRPFを有効にするには、次のコマンドを使用します。

router(config)# ip cef 
router(config)# interface  
router(config-if)# ip verify unicast reverse-path

インフラストラクチャ アクセス コントロール リスト

ネットワークを移動するトラフィックをブロックするのは往々にして困難ですが、インフラストラクチャ デバイスに送られてはならないトラフィックを識別し、ネットワークの境界でそのトラフィックをブロックすることは可能です。インフラストラクチャ ACL はネットワーク セキュリティのベスト プラクティスと考えられており、ここでの特定の脆弱性の回避策としてだけでなく、優れたネットワーク セキュリティへの長期的な付加機能として考慮する必要があります。ホワイトペーパー『Protecting Your Core: Infrastructure Protection Access Control Lists』には、インフラストラクチャ保護ACLのガイドラインと推奨される導入方法が記載されています。http://www.cisco.com/warp/public/707/iacl.html。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

IOS以外の製品

Cisco IOS

Cisco IOS ソフトウェアの表（下掲）の各行には、リリース トレインとそれに対応するプラットフォームまたは製品が記載されています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（「第 1 修正済みリリース」）とそれぞれの提供日が「リビルド」列と「メンテナンス」列に記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。このようなリリースは、少なくとも、示されているリリース以上（最初の修正リリース ラベル以上）にアップグレードしてする必要があります。

「リビルド」および「メンテナンス」という用語の詳細については、次のURLを参照してください。http://www.cisco.com/warp/public/620/1.html

Cisco IOSでは、この脆弱性は12.3(4)Tおよび12.2(18)SXDで発生しました。以前のバージョンのCisco IOSは影響を受けません。

IPSec用のOUSPG Test Suiteを使用すると、これらの脆弱性を引き起こすことができます。

これらの脆弱性は、CERT-FIおよびNISCCと協力して発見されました。リリース情報については、http://www.niscc.gov.uk/niscc/vulnAdv-en.htmlを参照してください。