Cisco IOSソフトウェアファイアウォールアプリケーションインスペクションコントロールの脆弱性

HTTPが設定されたアプリケーション固有のポリシーを使用してIOSファイアウォールアプリケーションインスペクションコントロール(AIC)が設定されているCisco IOSソフトウェアは、特定の不正なHTTPトランジットパケットを処理する際のサービス拒否(DoS)に対して脆弱です。この脆弱性の不正利用に成功した場合、影響を受けた機器では再起動が発生することがあります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。

この脆弱性に対する緩和策が利用可能です。詳細については、「回避策」セクションを参照してください。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosfw で公開されています。

注：2008年9月24日のIOSアドバイザリバンドル公開には12件のSecurity Advisoryが含まれています。11件のアドバイザリはCisco IOSソフトウェアの脆弱性に対処するもので、1件はCisco Unified Communications Managerの脆弱性に対処するものです。各アドバイザリには、このアドバイザリで説明されている脆弱性を修正するリリースが記載されています。

各ドキュメントへのリンクは次のとおりです。

• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosips
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ssl
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-sip
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-cucm
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-vpn
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ipc
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-mfi
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ubr
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-sccp
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-multicast
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosfw
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-l2tp
  

HTTP AIC機能は、Cisco IOSソフトウェアリリース12.4(9)Tで導入されました。このアドバイザリのソフトウェアテーブルは、影響を受けるリリースを示しています。

ファイアウォールは、組織のネットワーク資産へのアクセスを制御するネットワークデバイスです。ファイアウォールは、多くの場合、ネットワークへの入り口に配置されます。Cisco IOSソフトウェアは、特定の要件に応じて単純または複雑なファイアウォールポリシーを設定できるセキュリティ機能のセットを提供します。

HTTPはデフォルトでポート80を使用してインターネットWebサービスを転送します。これはネットワークで一般的に使用され、その正当性や規格への準拠に関して問題になることはほとんどありません。ポート80のトラフィックは通常、チャレンジを受けずにネットワークを通過できるため、多くのアプリケーション開発者は、アプリケーションのトラフィックがファイアウォールを通過またはバイパスすることを可能にする代替のトランスポートプロトコルとしてHTTPトラフィックを活用しています。Cisco IOS FirewallがHTTP AICを使用して設定されている場合、セキュリティポリシー設定の範囲内で許可されていないHTTP接続を検出するためにパケット検査が実行されます。また、ポート80経由でアプリケーションをトンネリングしているユーザも検出します。パケットがHTTPプロトコルに準拠していない場合、パケットはドロップされ、接続はリセットされ、必要に応じてsyslogメッセージが生成されます。

HTTPアプリケーション固有のポリシーを使用してIOSファイアウォールAICを設定しているCisco IOSソフトウェアは、特定の不正なHTTPトランジットパケットを処理する際のサービス拒否状態に対して脆弱です。この脆弱性の不正利用に成功した場合、影響を受けた機器では再起動が発生することがあります。

HTTPはTCP上で動作します。この脆弱性を不正利用するには、悪意のあるトラフィックが処理されてデバイスのリロードが発生する前に、クライアントとサーバ間の完全な3ウェイハンドシェイクが必要です。

Cisco IOS Firewall AICとHTTPアプリケーション固有のポリシーマップの詳細については、/en/US/products/ps6441/products_feature_guide09186a008060f6dd.html#wp1407906を参照してください。

この脆弱性は、Cisco Bug ID CSCsh12480(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2008-3812が割り当てられています。

この脆弱性に対する回避策はありません。この脆弱性に対処する唯一の既知のアクションは、該当デバイスの設定でAIC HTTPディープパケットインスペクションを無効にすることです。ディープパケットHTTPインスペクションを無効にすると、ソフトウェアアップグレードを実装できるまで、ファイアウォールの残りの機能を引き続き使用できます。その他のファイアウォール機能は、引き続き正常に動作します。

AIC HTTPディープパケットインスペクションの無効化

AIC HTTPディープパケットインスペクションを無効にするには、policy-map type inspect layer4-policymapとpolicy-map type inspect http layer7-policymapの間のリンクを削除します。次の例は、既存の設定を示し、その後にAIC HTTPディープパケットインスペクションを削除する方法を示しています。

!--- Existing Configuration
!

parameter-map type inspect global

!

class-map type inspect http match-any layer7-classmap
class-map type inspect match-any layer4-classmap
 match protocol http

!

policy-map type inspect http layer7-policymap
 class type inspect http layer7-classmap
  allow
 class class-default
policy-map type inspect layer4-policymap
 class type inspect layer4-classmap
  inspect global
  service-policy http layer7-policymap
 class class-default

!

zone security inside
 description ** Inside Network **
zone security outside
 description ** Outside Network **
zone-pair security in2out source inside destination outside
 description ** Zone Pair - inside to outside **
 service-policy type inspect layer4-policymap

対象のゾーンペアからサービスポリシーを削除します。

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#zone-pair security in2out source inside destination outside
Router(config-sec-zone-pair)#no service-policy type inspect layer4-policymap
Router(config-sec-zone-pair)#exit

policy-map type inspect layer4-policymapとpolicy-map type inspect http layer7-policymapの間のリンクを削除します。

Router(config)#policy-map type inspect layer4-policymap
Router(config-pmap)#class type inspect layer4-classmap
Router(config-pmap-c)#no service-policy http layer7-policymap
Router(config-pmap-c)#exit
Router(config-pmap)#exit

問題のゾーンペアにサービスポリシーを再適用します。

Router(config)#zone-pair security in2out source inside destination outside
Router(config-sec-zone-pair)#service-policy type inspect layer4-policymap
Router(config-sec-zone-pair)#exit

必須ではありませんが、設定を完全なものにするために、policy-map type inspect http layer7-policymapおよびclass-map type inspect http match-any layer7-classmapを削除することが推奨されます。

Router(config)#no policy-map type inspect http layer7-policymap
Router(config)#no class-map type inspect http match-any layer7-classmap
Router(config)#exit
Router#

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、Cisco IOS のリリース トレインが記載されています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（および、それぞれの予想提供日）が表の「第 1 修正済みリリース」列に記載されます。「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、シスコの社内テストによって発見されました。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。