IronPort暗号化アプライアンス/PostXおよびPXE暗号化の脆弱性

ダウンロード オプション

  • PDF     (347.9 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (81.6 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (69.3 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2009 年 1 月 14 日
Document ID:null-null

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

High

High

アドバイザリーID : cisco-sa-20090114-ironport
初公開日 : 2009-01-14 16:00
バージョン 1.0 : Final
回避策 : No Workarounds available
Cisco バグ ID :
 

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

IronPort PXE Encryptionは、受信システム上に公開キーインフラストラクチャ(PKI)や特別なエージェントを必要とせずに電子メール通信を保護するように設計された電子メール暗号化ソリューションです。電子メールメッセージが暗号化対象である場合、IronPort電子メールゲートウェイ上のPXE暗号化エンジンは、元の電子メールメッセージをHTMLファイルとして暗号化し、受信者に送信される通知電子メールメッセージに添付します。HTML添付ファイルの復号化に使用されるメッセージごとのキーは、ローカルのIronPort暗号化アプライアンス、PostXソフトウェアのインストール、またはシスコが管理するソフトウェアサービスであるCisco Registered Envelope Service(CRES)に保存されます。

PXE暗号化プライバシーの脆弱性

IronPort PXE暗号化ソリューションは、権限のないユーザが安全な電子メールメッセージの内容を表示できる可能性のある2つの脆弱性の影響を受けます。攻撃者がこの脆弱性を悪用するには、まずネットワーク上の安全な電子メールメッセージを傍受するか、セキュリティ侵害を受けた電子メールアカウントを使用する必要があります。

IronPort暗号化アプライアンス管理インターフェイスの脆弱性

IronPort暗号化アプライアンスデバイスには2つの脆弱性があり、許可されていないユーザがIronPort暗号化アプライアンス管理インターフェイスにアクセスしたり、他のユーザの設定を変更したりできる可能性があります。これらの脆弱性は、Cisco Registered Envelope Service(CRES)ユーザには影響しません。

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。このアドバイザリに記載されている脆弱性に対する回避策はありません。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090114-ironport で公開されています。

該当製品

脆弱性のある製品

次のIronPort暗号化アプライアンス/PostXバージョンは、これらの脆弱性の影響を受けます。

  • 6.2.1.1より前のすべてのPostX 6.2.1バージョン
  • 6.2.2.3より前のすべてのPostX 6.2.2バージョン
  • 6.2.4.1.1より前のすべてのIronPort暗号化アプライアンス/PostX 6.2.4バージョン
  • すべてのIronPort暗号化アプライアンス/PostX 6.2.5バージョン
  • すべてのIronPort暗号化アプライアンス/PostX 6.2.6バージョン
  • IronPort暗号化アプライアンス/PostX 6.2.7.7より前のすべてのバージョン
  • 6.3.0.4より前のすべてのIronPort暗号化アプライアンス6.3バージョン
  • 6.5.0.2より前のすべてのIronPort暗号化アプライアンス6.5バージョン

IronPort暗号化アプライアンスで実行されているソフトウェアのバージョンは、IronPort暗号化アプライアンス管理インターフェイスの[バージョン情報]ページにあります。

注：お客様の環境に適したソフトウェア修正を確認するには、IronPortサポートにお問い合わせください。詳細については、このアドバイザリの「修正済みソフトウェアの取得」セクションを参照してください。

脆弱性を含んでいないことが確認された製品

IronPort C、M、Sシリーズアプライアンスは、これらの脆弱性の影響を受けません。Cシリーズアプライアンスは、メッセージごとのキー保持にローカルのIronPort暗号化アプライアンスを使用するように設定できますが、Cシリーズアプライアンスには脆弱性はありません。Cisco Registered Envelope Serviceには脆弱性はありません。

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

注：IronPortは、お客様が利用できない内部システムを使用してバグを追跡します。IronPortのバグトラッキングIDは、参照用にのみ提供されています。

PXE暗号化プライバシーの脆弱性

個々のPXE暗号化ユーザは、攻撃者が機密情報にアクセスすることを可能にする可能性がある2つのメッセージプライバシーの脆弱性に対して脆弱です。これらの脆弱性はすべて、攻撃者が不正利用に成功するための条件として、まず安全な電子メールメッセージを傍受する必要があります。攻撃者は、ネットワークまたは侵害されたユーザの電子メールアカウントを監視することで、安全な電子メールメッセージを取得できます。

IronPort暗号化アプライアンス(ESA)には、攻撃者が一意のメッセージ単位の復号化キーを取得できる可能性のある論理エラーが含まれています。このキーを使用して、傍受されたセキュリティで保護された電子メールメッセージの内容をユーザーの操作なしで保護します。攻撃者は復号化キーを使用して、安全な電子メールメッセージの内容を復号化できます。この脆弱性は、IronPort Bug 8062で文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-0053が割り当てられています。

傍受された安全な電子メールメッセージの内容を変更したり、電子メールメッセージのクローズコピーを偽造したりすることにより、攻撃者が安全な電子メールメッセージの変更をユーザに納得させ、ユーザのクレデンシャルとメッセージの内容を漏洩させることができる可能性があります。これらのフィッシング攻撃にさらされる可能性を減らすために利用可能な対応策の詳細については、「回避策」のセクションを参照してください。この脆弱性は、IronPort Bug 8149として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-0054が割り当てられています。

IronPort暗号化アプライアンス管理インターフェイスの脆弱性

IronPort暗号化アプライアンスデバイスの管理インターフェイスには、クロスサイトリクエストフォージェリ(CSRF)の脆弱性が存在します。これにより、攻撃者は、ユーザがIronPort暗号化アプライアンス管理インターフェイスにログインしている場合に、ユーザ名や個人のセキュリティパスフレーズなど、IronPort暗号化アプライアンスの設定を変更できる可能性があります。この脆弱性の不正利用により、攻撃者はユーザのパスワードを変更できなくなります。この脆弱性は、IronPort Bug 5806として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-0055が割り当てられています。

IronPort暗号化アプライアンスデバイスの管理インターフェイスには、クロスサイトリクエストフォージェリ(CSRF)の脆弱性も存在します。この脆弱性により、攻撃者は、特定の状況下でIronPort暗号化アプライアンス管理インターフェイスからログアウトしたときに、コマンドを実行して、ユーザ名や個人のセキュリティパスフレーズなど、ユーザのIronPort暗号化アプライアンス設定を変更できる可能性があります。この脆弱性の不正利用により、攻撃者はユーザのパスワードを変更できなくなります。この脆弱性は、IronPort Bug 6403として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-0056が割り当てられています。

回避策

このアドバイザリに記載されている脆弱性に対する回避策はありません。

PXE暗号化のフィッシング形式の脆弱性の不正利用を防ぐために、いくつかの対応策が用意されています。フィッシング攻撃は、DomainKeys Identified Mail(DKIM)とSender Policy Framework(SPF)をIronPort電子メールゲートウェイに実装して、メッセージの整合性と送信元の発信元を確保すると大幅に減少します。また、PXE暗号化ソリューションには、フィッシング対策用のセキュアパスフレーズ機能が含まれており、セキュアな通知電子メールメッセージが有効であることを確認できます。この機能は、受信者がPXEユーザプロファイルを設定するときに有効になります。シスコは、次のリンクから入手できるフィッシング攻撃を軽減する複数の手法を説明したベストプラクティスドキュメントをリリースしました。

http://www.cisco.com/web/about/security/intelligence/bpiron.html

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

推奨事項

$propertyAndFields.get("recommendations")

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

J.B. BrintechのSnyderは、フィッシング形式の攻撃を通じてPXE暗号化ユーザのクレデンシャルを取得する方法をシスコに報告しました。

その他の脆弱性はすべて、シスコが発見したか、お客様から報告されたものです。

URL

改訂履歴

リビジョン 1.0

2009年1月14日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。