DNSキャッシュポイズニング攻撃に対して脆弱な複数のシスコ製品

ダウンロード オプション

  • PDF     (505.7 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (89.7 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (107.7 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2008 年 7 月 8 日
Document ID:null-null

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

Medium

Medium

アドバイザリーID : cisco-sa-20080708-dns
初公開日 : 2008-07-08 18:00
バージョン 2.1 : Final
CVSSスコア : 6.4
回避策 : No Workarounds available
Cisco バグ ID : CSCso81854
 

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

複数のシスコ製品は、生成したDNSクエリでランダム化が不十分なDNSトランザクションIDとUDPソースポートを使用しているため、DNSキャッシュを汚染する可能性のあるDNS応答を攻撃者がより簡単に作成できる可能性があり、DNSキャッシュ汚染の攻撃に対して脆弱です。

この脆弱性を不正利用するには、攻撃者は脆弱なDNSサーバに再帰的DNSクエリを実行させる必要があります。したがって、権限のみを持つDNSサーバや、再帰が許可されていないサーバは影響を受けません。

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080708-dns で公開されています。

このセキュリティアドバイザリは、影響を受ける他の組織からの発表と同時に公開されます。

該当製品

DNS応答をキャッシュし、再帰希望(RD)フラグが設定されたDNSメッセージを処理する製品は、DNSプロトコルの実装によっては、DNSキャッシュポイズニング攻撃に対して脆弱になる可能性があります。RDフラグが設定されたDNSメッセージを処理する製品は、クライアントに代わって質問への回答を試みます。製品が影響を受けるのは、脆弱性のあるDNSプロトコルの実装を使用していて、その製品のDNSサーバ機能が有効になっており、その製品のDNS機能が再帰DNSクエリーメッセージを処理するように設定されている場合のみです。

脆弱性のある製品

次のシスコ製品はDNSサーバとして機能する可能性があり、DNS実装に関する脆弱性が確認されています。この脆弱性により、一部のタイプのDNSキャッシュポイズニング攻撃が成功する可能性が高くなっています。

  • Cisco IOS ソフトウェア

    Cisco IOSソフトウェアを実行しているデバイスは、脆弱性のあるバージョンを実行していて、DNSサーバとして機能している場合に影響を受けます。

    DNSサーバ機能をサポートし、DNS実装が改善されていないすべてのCisco IOSソフトウェアリリースが影響を受けます。特定の修正済みバージョンの詳細については、「ソフトウェアバージョンと修正」セクションを参照してください。

    Cisco IOSソフトウェアを実行しているデバイスは、ip dns serverコマンドが設定に含まれている場合は、DNSサーバとして機能するように設定されています。このコマンドはデフォルトでは有効になっていません。

  • Cisco Network Registrar

    Cisco Network Registrarのすべてのバージョンが影響を受け、DNSサービスはデフォルトで有効になっています。

    CNR上のDNSサーバを有効にするには、コマンドラインインターフェイス(CLI)コマンドのserver dns enable start-on-rebootまたはdns enable start-on-rebootを使用するか、サーバページのWeb管理インターフェイスで適切な「Start」、「Stop」、または「Reload」ボタンを選択します。

  • Cisco Application and Content Networking System(ACNS)

    Cisco Application and Content Networking System(ACNS)のすべてのバージョンが影響を受けます。DNSサービスはデフォルトで無効になっています。

    設定にコマンドdns enableが含まれている場合、ACNSはDNSサーバとして機能するように設定されます。

  • Cisco Network Registrarと組み合わせて使用するCisco Global Site Selector

    Cisco Global Site Selector(GSS)は、より完全なDNSソリューションを提供するためにCisco Network Registrarソフトウェアと組み合わせて使用される場合に影響を受けます。修正済みソフトウェアは、GSSソフトウェアのアップデートではなく、Cisco Network Registrarソフトウェアのアップデートの形式で提供されます。

脆弱性を含んでいないことが確認された製品

DNSサーバ機能を提供しない製品は、この脆弱性の影響を受けません。

Cisco GSS自体はこの脆弱性の影響を受けません。ただし、Cisco Network Registrarソフトウェアと併用した場合は影響を受けます。

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

ドメインネームシステム(DNS)は、インターネットなどのTCP/IPに基づくネットワークに不可欠な要素です。簡単に言うと、ドメインネームシステム(DNS)は、ホスト名とIPアドレスのマッピングを含む階層型データベースです。DNSプロトコルはTCP/IPプロトコルスイートの一部であり、DNSクライアントはホスト名をIPアドレスに解決するためにDNSデータベースに照会できます。

DNSサーバは、DNSプロトコルを実装し、DNSクライアントによるクエリに応答できるアプリケーションです。DNSクライアントからのクエリを処理する場合、DNSサーバーはグローバルDNSデータベースのクエリ部分を調べたり（DNSサーバーが権限を持つDNSデータベース部分に対するクエリの場合）、他のDNSサーバーにクエリを中継したりできます（そのように構成されていて、クエリがDNSサーバーが権限を持たないDNSデータベース部分に対する場合）。

DNSクエリーの処理に関連する処理時間と帯域幅のため、ほとんどのDNSサーバは他のDNSサーバから受信した応答をローカルに保存します。これらの応答がローカルに保存される領域は「キャッシュ」と呼ばれます。 応答がキャッシュに保存されると、DNSサーバーはローカルに保存された応答を一定時間（「存続可能時間」と呼ばれます）使用できます。その後、DNSサーバーに再びクエリを実行し、応答のローカル（キャッシュされた）コピーを更新する必要があります。

DNSキャッシュポイズニング攻撃は、DNSサーバのDNSキャッシュ内のエントリが変更され、キャッシュ内のホスト名に関連付けられたIPアドレスが正しい場所を指さないようにする攻撃です。たとえば、www.example.comがIPアドレス192.168.0.1にマッピングされていて、このマッピングがDNSサーバのキャッシュにある場合、攻撃者がこのサーバのDNSキャッシュをポイズニングすると、代わりにwww.example.comを10.0.0.1にマッピングできる可能性があります。この場合、www.example.comにアクセスしようとしているユーザが間違ったWebサーバに接続する可能性があります。

DNSキャッシュポイズニング攻撃は新しい攻撃ではありませんが、セキュリティ研究者は最近、攻撃者が低複雑度のツールと低トラフィック要件を使用して、成功したDNSキャッシュポイズニング攻撃をマウントできる技術を提示しました。この手法は、DNSプロトコルのほとんどの実装の弱点を不正利用します。基本的な実装上の弱点は、DNS応答の検証に使用されるDNSトランザクションIDと送信元ポート番号が十分にランダム化されておらず、容易に予測できることです。これにより、攻撃者は、期待される値に一致するDNSクエリに対する偽の応答を作成できます。DNSサーバは、このような応答を有効と見なします。

DNSサーバ機能を提供する次のシスコ製品は、DNSキャッシュポイズニング攻撃の影響を受けやすいことが確認されています。

  • Cisco IOSソフトウェア：この脆弱性は、Cisco Bug ID CSCso81854 (登録ユーザ専用)に記載されています。
  • Cisco Network Registrar：この脆弱性は、Cisco Bug ID CSCsq01298 (登録ユーザ専用)に記載されています。
  • Cisco Application and Content Networking System(ACNS)：この脆弱性は、Cisco Bug ID CSCsq21930 (登録ユーザ専用)に記載されています。

この脆弱性に対してCommon Vulnerabilities and Exposures(CVE)IDとしてCVE-2008-1447が割り当てられています。

ポートアドレス変換の考慮事項

ポートアドレス変換(PAT)は、ネットワークアドレス変換(NAT)の形式の1つで、プライベートネットワーク内の複数のホストが単一のパブリックIPアドレスを使用してパブリックネットワークにアクセスできるようにします。これは、プライベートネットワークからのパケットがPATを実行しているネットワークデバイスを通過するときに、レイヤ4情報、特にTCPとUDPの送信元ポート番号とチェックサムを書き換えることによって実現されます。PATはネットワーク管理者によって設定され、パブリックIPアドレスが制限されている状況では、ファイアウォールやルータなどのネットワークデバイスによって実行されます。

最初のマルチベンダーDNSアドバイザリが2008年7月8日に公開された後、DNSクエリーの送信時にランダムな送信元ポートを使用するDNS実装への修正は、そのようなクエリーがPATデバイスを通過するときに無効になる場合があることが判明しました。その理由は、PATを実行しているネットワークデバイスが、PATに必要なレイヤ4書き換え操作を実行するときに、差分割り当てなどの予測可能な送信元ポート割り当てポリシーを使用するためです。このシナリオでは、DNSベンダーによる修正が大幅に削減される可能性があります。これは、内部ネットワークで見られるDNSクエリにはランダムな送信元ポート番号が含まれるのに対し、デバイスを通過するトラフィックのタイプに応じて、プライベートネットワークを離れる際に同じクエリに予測可能な送信元ポート番号が含まれる可能性があるためです。

この問題の影響を受けるシスコ製品は複数あり、PATモードで動作しているこれらの該当製品の背後にDNSサーバが配置されている場合、送信元ポートのランダム化のアップデートがDNSサーバに適用されていても、DNSインフラストラクチャに問題が生じる可能性があります。

影響を受けるシスコ製品と、問題を追跡するために作成されたそれぞれのCisco Bugは次のとおりです。

製品

Cisco Bug ID

Cisco PIX（6.3.x以前）

CSCsr28354(登録ユーザ専用)

Cisco ASAおよびCisco PIX（7.0.x以降）

CSCsr28008(登録ユーザ専用)

ファイアウォール サービス モジュール（FWSM）

CSCsr29124(登録ユーザ専用)

Cisco IOS

CSCsr29691(登録ユーザ専用)

Ciscoコンテンツスイッチングモジュール(CSM)

CSCsr61220(登録ユーザ専用)

Cisco Application Control Engine(ACE)モジュール

CSCsr98689(登録ユーザ専用)

Cisco Application Control Engine(ACE)アプライアンス

CSCsu10546(登録ユーザ専用)

これらのバグに対する修正済みソフトウェア情報は、このドキュメントには追加されません。代わりに、お客様はcisco.comのBug Toolkitアプリケーションの通常のサポートチャネルまたはバグトラッキング機能を使用して、修正済みソフトウェア情報を入手する必要があります。

上記の製品では、PATに必要な送信元ポートの書き換え操作を実行する際に、ACEモジュールとACEアプライアンスを除き、増分の送信元ポート割り当てポリシーが使用されます。Cisco IOSの場合、最初に元の送信元ポートが試行されますが、そのポートがすでに割り当てられ、既存のPAT変換に使用されている場合、新しいポートが徐々に割り当てられます。

ACEモジュールとACEアプライアンスは、増分ソースポート割り当てを使用しません。ただし、PAT動作中に選択された送信元ポート番号を予測可能にするハッシュアルゴリズムを使用します。

従来のNAT（つまり、各プライベートIPアドレスに1つのパブリックIPアドレスを割り当てる）はこの問題の影響を受けません。これは、PATとは異なり、NATはレイヤ3情報を書き換えるだけで、NATデバイスを通過するパケットのレイヤ4ヘッダー情報を変更しないためです。

回避策

回避策はありません。

DNSに対する攻撃の識別と緩和についての詳細は、Cisco適用インテリジェンスのホワイトペーパー『DNS Best Practices, Network Protections, and Attack Identification』を参照してください。このホワイトペーパーは、http://www.cisco.com/web/about/security/intelligence/dns-bcp.htmlから入手できます。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェア

Cisco IOSソフトウェアの表（下記）の各行は、Cisco IOSソフトウェアのリリーストレインを示しています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（および、それぞれの予想提供日）が表の「第 1 修正済みリリース」列に記載されます。「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。

メジャー リリース

     修正済みリリースの入手可能性

Affected 12.0-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.0

脆弱性なし

 

12.0DA

脆弱性なし

 

12.0DB

12.0(7)DBより前のリリースには脆弱性があり、12.0(7)DB以降のリリースには脆弱性はありません。最初の修正は12.4です。

12.4(19a)

12.4(19b)

12.0DC

12.0(7)DCより前のリリースには脆弱性があり、12.0(7)DC以降のリリースには脆弱性はありません。最初の修正は12.4です。

12.4(19a)

12.4(19b)

12.0S

脆弱性なし

 

12.0SC

脆弱性なし

 

12.0SL

脆弱性なし

 

12.0SP

脆弱性なし

 

12.0ST

脆弱性なし

 

12.0SX

脆弱性なし

 

12.0SY

脆弱性なし

 

12.0SZ

脆弱性なし

 

12.0T

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.0W

脆弱性なし

 

12.0WC

脆弱性あり。TACに連絡

 

12.0WT

脆弱性なし

 

12.0XA

脆弱性なし

 

12.0XB

脆弱性なし

 

12.0XC

脆弱性なし

 

12.0XD

脆弱性なし

 

12.0XE

注：12.0(7)XE1より前のリリースには脆弱性があり、12.0(7)XE1以降のリリースには脆弱性はありません。

 

12.0XF

脆弱性なし

 

12.0XG

脆弱性なし

 

12.0XH

脆弱性なし

 

12.0XI

脆弱性なし

 

12.0XJ

脆弱性なし

 

12.0XK

12.0(7)XK2より前のリリースには脆弱性があり、12.0(7)XK2以降のリリースには脆弱性はありません。最初の修正は12.4です。

12.4(19a)

12.4(19b)

12.0XL

脆弱性なし

 

12.0XM

脆弱性なし

 

12.0XN

脆弱性なし

 

12.0XQ

脆弱性なし

 

12.0XR

12.0(7)XR1より前のリリースには脆弱性があり、12.0(7)XR1以降のリリースには脆弱性はありません。最初の修正は12.4です。

12.4(19a)

12.4(19b)

12.0XS

脆弱性なし

 

12.0XV

脆弱性なし

 

12.0XW

脆弱性なし

 

Affected 12.1-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.1

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.1AA

脆弱性なし

 

12.1AX

脆弱性なし

 

12.1AY

12.1(22)AY1より前のリリースには脆弱性があり、12.1(22)AY1以降のリリースには脆弱性はありません。

12.1(22)EA11

12.1AZ

脆弱性なし

 

12.1CX

脆弱性なし

 

12.1DA

脆弱性なし

 

12.1DB

12.1(4)DB1より前のリリースには脆弱性があり、12.1(4)DB1以降のリリースには脆弱性はありません。最初の修正は12.4です。

12.4(19a)

12.4(19b)

12.1DC

12.1(4)DC2より前のリリースには脆弱性があり、12.1(4)DC2以降のリリースには脆弱性はありません。最初の修正は12.4です。

12.4(19a)

12.4(19b)

12.1E

脆弱性なし

 

12.1EA

12.1(11)EA1より前のリリースには脆弱性があり、12.1(11)EA1以降のリリースには脆弱性はありません。

12.1(22)EA11

12.1EB

脆弱性なし

 

12.1EC

脆弱性なし

 

12.1EO

脆弱性なし

 

12.1EU

脆弱性なし

 

12.1EV

脆弱性なし

 

12.1EW

脆弱性なし

 

12.1EX

注：12.1(8a)EXより前のリリースには脆弱性があり、12.1(8a)EX以降のリリースには脆弱性はありません。

 

12.1EY

脆弱性なし

 

12.1EZ

脆弱性なし

 

12.1GA

脆弱性なし

 

12.1GB

脆弱性なし

 

12.1T

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.1XA

脆弱性なし

 

12.1XB

脆弱性なし

 

12.1XC

12.1(1)XC1より前のリリースには脆弱性があり、12.1(1)XC1以降のリリースには脆弱性はありません。最初の修正は12.4です。

12.4(19a)

12.4(19b)

12.1XD

脆弱性なし

 

12.1XE

脆弱性なし

 

12.1XF

脆弱性なし

 

12.1XG

脆弱性なし

 

12.1XH

脆弱性なし

 

12.1XI

脆弱性なし

 

12.1XJ

脆弱性なし

 

12.1XK

脆弱性なし

 

12.1XL

脆弱性なし

 

12.1XM

脆弱性なし

 

12.1XN

脆弱性なし

 

12.1XO

脆弱性なし

 

12.1XP

脆弱性なし

 

12.1XQ

脆弱性なし

 

12.1XR

脆弱性なし

 

12.1XS

脆弱性なし

 

12.1XT

脆弱性なし

 

12.1XU

脆弱性なし

 

12.1XV

脆弱性なし

 

12.1XW

脆弱性なし

 

12.1XX

脆弱性なし

 

12.1XY

脆弱性なし

 

12.1XZ

脆弱性なし

 

12.1YA

脆弱性なし

 

12.1YB

脆弱性なし

 

12.1YC

脆弱性なし

 

12.1YD

脆弱性なし

 

12.1YE

注：12.1(5)YE1より前のリリースには脆弱性があり、12.1(5)YE1以降のリリースには脆弱性はありません。

12.4(19a)

12.4(19b)

12.1YF

脆弱性なし

 

12.1YG

脆弱性なし

 

12.1YH

脆弱性なし

 

12.1YI

脆弱性なし

 

12.1YJ

脆弱性なし

 

Affected 12.2-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.2

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2B

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2BC

脆弱性なし

 

12.2BW

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2BY

12.2(8)BYより前のリリースには脆弱性があり、12.2(8)BY以降のリリースには脆弱性はありません。最初の修正は12.4です。

12.4(19a)

12.4(19b)

12.2BZ

脆弱性なし

 

12.2CX

脆弱性なし

 

12.2CY

脆弱性なし

 

12.2CZ

脆弱性あり。TACに連絡

 

12.2DA

脆弱性なし

 

12.2DD

脆弱性なし

 

12.2DX

脆弱性なし

 

12.2EU

脆弱性なし

 

12.2EW

脆弱性なし

 

12.2EWA

脆弱性なし

 

12.2EX

脆弱性なし

 

12.2EY

脆弱性なし

 

12.2EZ

脆弱性なし

 

12.2FX

脆弱性なし

 

12.2FY

脆弱性なし

 

12.2FZ

脆弱性なし

 

12.2IXA

脆弱性なし

 

12.2IXB

脆弱性なし

 

12.2IXC

脆弱性なし

 

12.2IXD

脆弱性なし

 

12.2IXE

脆弱性なし

 

12.2IXF

脆弱性なし

 

12.2JA

脆弱性なし

 

12.2JK

脆弱性なし

 

12.2MB

脆弱性なし

 

12.2MC

脆弱性なし

 

12.2S

脆弱性なし

 

12.2SB

脆弱性なし

 

12.2SBC

脆弱性なし

 

12.2SCA

脆弱性なし

 

12.2SE

脆弱性なし

 

12.2SEA

脆弱性なし

 

12.2SEB

脆弱性なし

 

12.2SEC

脆弱性なし

 

12.2SED

脆弱性なし

 

12.2SEE

脆弱性なし

 

12.2SEF

脆弱性なし

 

12.2SEG

脆弱性なし

 

12.2SG

脆弱性なし

 

12.2SGA

脆弱性なし

 

12.2SL

脆弱性なし

 

12.2SM

脆弱性なし

 

12.2SO

脆弱性なし

 

12.2SRA

脆弱性なし

 

12.2SRB

脆弱性なし

 

12.2SRC

脆弱性なし

 

12.2SU

脆弱性なし

 

12.2SV

脆弱性なし

 

12.2SVA

脆弱性なし

 

12.2SVC

脆弱性なし

 

12.2SVD

脆弱性なし

 

12.2SW

脆弱性なし

 

12.2SX

脆弱性なし

 

12.2SXA

脆弱性なし

 

12.2SXB

脆弱性なし

 

12.2SXD

脆弱性なし

 

12.2SXE

脆弱性なし

 

12.2SXF

脆弱性なし

 

12.2SXH

脆弱性なし

 

12.2SXI

脆弱性なし

 

12.2SY

脆弱性なし

 

12.2SZ

脆弱性なし

 

12.2T

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2TPC

12.2(8)TPC10dより前のリリースには脆弱性があり、12.2(8)TPC10d以降のリリースには脆弱性はありません。

 

12.2UZ

脆弱性なし

 

12.2XA

脆弱性なし

 

12.2XB

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2XC

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2XD

脆弱性なし

 

12.2XE

脆弱性なし

 

12.2XF

脆弱性なし

 

12.2XG

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2XH

脆弱性なし

 

12.2XI

脆弱性なし

 

12.2XJ

脆弱性なし

 

12.2XK

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2XL

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2XM

脆弱性なし

 

12.2XN

脆弱性なし

 

12.2XNA

脆弱性なし

 

12.2XO

脆弱性なし

 

12.2XQ

脆弱性なし

 

12.2XR

脆弱性なし

 

12.2XS

脆弱性なし

 

12.2XT

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2XU

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2XV

脆弱性なし

 

12.2XW

脆弱性なし

 

12.2YA

脆弱性なし

 

12.2YB

脆弱性なし

 

12.2YC

脆弱性なし

 

12.2YD

脆弱性なし

 

12.2YE

脆弱性なし

 

12.2YF

脆弱性なし

 

12.2YG

脆弱性なし

 

12.2YH

脆弱性なし

 

12.2YJ

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2YK

脆弱性なし

 

12.2YL

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2YM

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2YN

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2YO

脆弱性あり。12.2SYの任意のリリースに移行

12.2(18)SXF15（2008年8月8日に入手可能）

12.2YP

脆弱性なし

 

12.2YQ

脆弱性なし

 

12.2YR

脆弱性なし

 

12.2YS

脆弱性なし

 

12.2YT

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2YU

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2YV

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2YW

脆弱性なし

 

12.2YX

脆弱性なし

 

12.2YY

脆弱性なし

 

12.2YZ

脆弱性なし

 

12.2ZA

脆弱性なし

 

12.2ZB

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2ZC

脆弱性なし

 

12.2ZD

脆弱性あり。TACに連絡

 

12.2ZE

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2ZF

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2ZG

脆弱性あり(最初の修正は12.4T)

12.4(19a)

12.4(19b)

12.4(20)T（2008年7月11日に入手可能）

12.2ZH

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.4(20)T（2008年7月11日に入手可能）

12.2ZJ

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.2ZL

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.4(20)T（2008年7月11日に入手可能）

12.2ZP

脆弱性なし

 

12.2ZU

脆弱性なし

 

12.2ZY

脆弱性なし

 

12.2ZYA

脆弱性なし

 

Affected 12.3-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.3

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3B

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3BC

脆弱性なし

 

12.3BW

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3EU

脆弱性なし

 

12.3JA

脆弱性なし

 

12.3JEA

脆弱性なし

 

12.3JEB

脆弱性なし

 

12.3JEC

脆弱性なし

 

12.3JK

脆弱性なし

 

12.3JL

脆弱性なし

 

12.3JX

脆弱性なし

 

12.3T

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3TPC

脆弱性あり。TACに連絡

 

12.3VA

脆弱性あり。TACに連絡

 

12.3XA

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.4(20)T（2008年7月11日に入手可能）

12.3XB

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3XC

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.4(20)T（2008年7月11日に入手可能）

12.3XD

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3XE

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.4(20)T（2008年7月11日に入手可能）

12.3XF

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3XG

脆弱性あり(最初の修正は12.4T)

12.4(19a)

12.4(19b)

12.4(20)T（2008年7月11日に入手可能）

12.3XH

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3XI

脆弱性あり。TACに連絡

 

12.3XJ

脆弱性あり(最初の修正は12.3YX)

12.3(14)YX12

12.4(20)T（2008年7月11日に入手可能）

12.3XK

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3XQ

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3XR

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.4(20)T（2008年7月11日に入手可能）

12.3XS

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.3XU

脆弱性なし

 

12.3XW

脆弱性あり(最初の修正は12.3YX)

12.3(14)YX12

12.4(20)T（2008年7月11日に入手可能）

12.3XY

脆弱性なし

 

12.3YA

脆弱性あり(最初の修正は12.4)

12.4(19a)

12.4(19b)

12.4(20)T（2008年7月11日に入手可能）

12.3YD

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

12.3YF

脆弱性あり(最初の修正は12.3YX)

12.3(14)YX12

12.4(20)T（2008年7月11日に入手可能）

12.3YG

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

12.3YH

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

12.3YI

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

12.3YJ

脆弱性なし

 

12.3YK

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

12.3YM

12.3(14)YM12より前のリリースには脆弱性があり、12.3(14)YM12以降のリリースには脆弱性はありません。

12.3(14)YM12

12.3YQ

脆弱性なし

 

12.3YS

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

12.3YT

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

12.3YU

脆弱性あり(最初の修正は12.4XB)

 

12.3YX

12.3(14)YX12

12.3(14)YX12

12.3YZ

脆弱性あり。TACに連絡

 

Affected 12.4-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.4

12.4(18b)

12.4(19a)

12.4(19b)

12.4(21)

12.4(19a)

12.4(19b)

12.4JA

脆弱性なし

 

12.4JK

脆弱性なし

 

12.4JMA

脆弱性なし

 

12.4JMB

脆弱性なし

 

12.4JMC

脆弱性なし

 

12.4JX

脆弱性なし

 

12.4MD

12.4(15)MD

12.4(15)MD

12.4MR

12.4(19)MR

12.4(19)MR

12.4SW

脆弱性あり。TACに連絡

 

12.4T

12.4(15)T6

12.4(20)T（2008年7月11日に入手可能）

12.4(20)T（2008年7月11日に入手可能）

12.4XA

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

12.4XB

12.4(2)XB10

 

12.4XC

脆弱性あり。TACに連絡

 

12.4XD

12.4(4)XD11（2008年7月31日に入手可能）

12.4(20)T（2008年7月11日に入手可能）

12.4XE

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

12.4XF

脆弱性なし

 

12.4XG

脆弱性なし

 

12.4XJ

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

12.4XK

脆弱性なし

 

12.4XL

12.4(15)XL2

12.4(15)XL2

12.4XM

12.4(15)XM1

12.4(15)XM1

12.4XN

脆弱性あり。TACに連絡

 

12.4XQ

脆弱性あり。TACに連絡

 

12.4XT

脆弱性あり。TACに連絡

 

12.4XV

脆弱性あり。TACに連絡

 

12.4XW

12.4(11)XW8

12.4(11)XW6

12.4XY

12.4(15)XY3

 

12.4XZ

脆弱性あり(最初の修正は12.4T)

12.4(20)T（2008年7月11日に入手可能）

Cisco Network Registrar

該当するリリーストレイン

First Fixed Release（修正された最初のリリース）

6.1.x以前

ソフトウェアがサポート終了ステータスに達しました。6.1.xより前のバージョンを実行している場合は、できるだけ早く新しいバージョンにアップグレードすることを推奨します。

6.1.x

6.2.4.1にアップグレード（現在入手可能）

6.2.x

6.2.4.1（現在入手可能）

6.3.x

6.3.1.5（現在入手可能）

7.0.x

7.0.1（2008年9月下旬に入手可能）

Cisco Network Registrarソフトウェアは、http://www.cisco.com/pcgi-bin/Software/Tablebuild/tablebuild.pl/nr-eval?psrtdcat20e2からダウンロードできます。

Cisco Application and Content Networking System(ACNS)

この問題は、現在入手可能なCisco ACNSソフトウェアのバージョン5.5.11.2で修正されています。

Cisco ACNS 5.5ソフトウェアは、http://www.cisco.com/pcgi-bin/tablebuild.pl/acns55?psrtdcat20e2からダウンロードできます。

推奨事項

$propertyAndFields.get("recommendations")

不正利用事例と公式発表

Cisco PSIRTでは、本アドバイザリに記載されている脆弱性の不正利用事例は確認しておりません。この脆弱性の性質に関する技術的な詳細は一般に公開されており、Metasploitプロジェクトはこの脆弱性を不正利用する可能性のある2つのモジュールを公開しています。

DNSキャッシュポイズニング攻撃は新しいものではありませんが、IOActiveのセキュリティ研究者であるDan Kaminsky氏は最近、DNSキャッシュポイズニング攻撃が成功する可能性を高める技術を発表しました。シスコは、Dan Kaminsky氏の調査結果をベンダーに通知していただいたことに感謝いたします。

このアドバイザリでは、Cisco IOSソフトウェアの脆弱性に関する業界全体での公開が行われているため、http://www.cisco.com/go/psirtで説明されているCisco IOSソフトウェアの公開スケジュール外の情報が提供されています。

US-CERTによって公開されたマルチベンダーアドバイザリは、http://www.kb.cert.org/vuls/id/800113 CUCM IP Phone (SCCP) Keepalive and Failover Architecture を参照してください。leavingcisco.com(「VU#800113 - Multiple DNS implementations vulnerable to cache poisonation」)で公開されています。

URL

改訂履歴

Revision 2.1

2008年9月9日

「ポートアドレス変換に関する考慮事項」セクションに、Cisco Application Control Engine(ACE)モジュールおよびCisco ACEアプライアンスのCisco Bug IDを追加。これらのデバイスでは、PATを実行する際に予測可能な送信元ポート割り当てポリシーが適用される場合があるためです。Cisco Network RegistrarおよびCisco Application and Content Networking Systemの修正済みソフトウェアの情報と公開日を更新。

Revision 2.0

2008年7月28日

「Port Address Translation（PAT；ポートアドレス変換）に関する考慮事項」セクションが追加され、PATを実行するネットワークデバイスの背後にDNSサーバがある場合の問題とリスクに焦点が当てられました。また、PATを実行でき、PAT操作に必要なレイヤ4リライトの実行時に予測可能な送信元ポート割り当てポリシーを使用するシスコ製品に関する情報とCisco Bug IDも提供されました。Cisco Network Registrarの修正済みソフトウェアの入手可能日を更新。

リビジョン 1.2

2008年7月25日

「エクスプロイトおよび公表」セクションを更新し、完全な技術詳細とエクスプロイトコードが公開されていることを示しました。「US-CERT Vulnerability Note」へのリンクを追加。

リビジョン 1.1

2008年7月22日

CVSSスコアカリキュレータへのリンクを修正。Cisco Network Registrarの修正済みソフトウェアの表を更新。脆弱性の詳細に関する公開討論を認識していることを述べます。ACNSソフトウェアの可用性に関する情報を更新。

リビジョン 1.0

2008年7月8日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。