Cisco ASA適応型セキュリティアプライアンスおよびCisco PIXセキュリティアプライアンスの複数の脆弱性

このセキュリティ アドバイザリでは、相互に独立した複数の脆弱性が説明されています。これらの脆弱性は相互に関連していません。

VPN認証バイパスの脆弱性

Cisco ASAまたはCisco PIXセキュリティアプライアンスは、AAAサーバからのアカウント無効表示を上書きし、ユーザがログインできるように設定できます。ただし、ユーザがVPNにログインするには、正しいクレデンシャルを入力する必要があります。Cisco ASAおよびCisco PIXセキュリティアプライアンスには、オーバーライドアカウント機能が有効な場合にVPNユーザが認証をバイパスできる脆弱性が存在します。

注：アカウントの上書き機能は、Cisco ASAソフトウェアバージョン7.1(1)で導入されました。

次の例に示すように、アカウントの上書き機能は、tunnel-group general-attributesコンフィギュレーションモードでoverride-account-disableコマンドを使用して有効にします。次の例では、WebVPNトンネルグループ「testgroup」のAAAサーバからの「account-disabled」インジケータの上書きを許可しています。

hostname(config)#tunnel-group testgroup type webvpn
hostname(config)#tunnel-group testgroup general-attributes
hostname(config-tunnel-general)#override-account-disable

注：アカウントの上書き機能はデフォルトで無効になっています。

この脆弱性は、Cisco Bug ID CSCsx47543 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-1155が割り当てられています。

巧妙に細工されたHTTPパケットによるDoS脆弱性

巧妙に細工されたSSLまたはHTTPパケットにより、SSL VPN接続を終了するように設定されたCisco ASAデバイスでDoS状態が発生する可能性があります。この脆弱性は、ASDMアクセスが有効になっているインターフェイスに対してトリガーされる可能性もあります。攻撃に成功すると、デバイスのリロードが発生する可能性があります。この脆弱性を不正利用するには、TCP 3ウェイハンドシェイクが必要です。

この脆弱性は、Cisco Bug ID CSCsv52239(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-1156が割り当てられています。

巧妙に細工されたTCPパケットによるDoS脆弱性

巧妙に細工されたTCPパケットにより、Cisco ASAまたはCisco PIXデバイスでメモリリークが発生する可能性があります。攻撃に成功すると、DoS状態が続く可能性があります。次のいずれかの機能が設定されているCisco ASAデバイスが影響を受けます。

• SSL VPN
  
• ASDM管理アクセス
  
• Telnet 経由のアクセス
  
• SSHアクセス
  
• リモートアクセスVPN用のcTCP
  
• 仮想 Telnet
  
• 仮想 HTTP
  
• 暗号化された音声検査の TLS プロキシ
  
• ネットワーク アクセスのカットスルー プロキシ
  
• TCP 代行受信
  

注：この脆弱性は、該当デバイスで終端する任意のTCPベースのサービスに巧妙に細工されたパケットが送信されたときにトリガーされる可能性があります。この脆弱性は、TCPインターセプト機能が有効になっている場合にのみ、一時的なトラフィックによって引き起こされる可能性があります。この脆弱性を不正利用するためにTCP 3ウェイハンドシェイクは必要ありません。

この脆弱性は、Cisco Bug ID CSCsy22484 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-1157が割り当てられています。

巧妙に細工されたH.323パケットによるDoS脆弱性

巧妙に細工されたH.323パケットにより、H.323インスペクションが設定されたCisco ASAデバイスでDoS状態が発生する可能性があります。H.323インスペクションはデフォルトで有効になっています。攻撃に成功すると、デバイスのリロードが発生する可能性があります。この脆弱性を不正利用するためにTCP 3ウェイハンドシェイクは必要ありません。

この脆弱性は、Cisco Bug ID CSCsx32675(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-1158が割り当てられています。

SQL*NetパケットのDoS脆弱性

SQL*Netプロトコルは、セキュリティアプライアンスによって処理されるさまざまなパケットタイプで構成されます。これにより、Cisco ASAおよびCisco PIXセキュリティアプライアンスのどちらの側でも、Oracleバージョン7.x以前の実装とデータストリームの一貫性が保たれます。一連のSQL*Netパケットにより、SQL*Netインスペクションが設定されたCisco ASAおよびCisco PIXデバイスでサービス拒否状態が発生する可能性があります。SQL*Netインスペクションはデフォルトで有効になっています。攻撃に成功すると、デバイスのリロードが発生する可能性があります。

SQL*Netのデフォルトのポート割り当てはTCPポート1521です。これは、OracleがSQL*Net用に使用する値です。class-mapコマンドは、Cisco ASAまたはCisco PIXでSQL*Netインスペクションをさまざまなポート番号に適用するために使用できることに注意してください。この脆弱性を不正利用するには、TCP 3ウェイハンドシェイクが必要です。TCP 3ウェイハンドシェイクの要件により、スプーフィングされた送信元アドレスを持つパケットを使用した不正利用の可能性が大幅に低減されます。

この脆弱性は、Cisco Bug ID CSCsw51809(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-1159が割り当てられています。

アクセスコントロールリストバイパスの脆弱性

アクセスリストには、ACL内の許可ACEまたは拒否ACEのいずれとも一致せず、ACLの最後に到達するパケットに適用される、暗黙的な拒否動作があります。この暗黙のdenyは意図的に存在しており、設定を必要とせず、ACLの最後に到達するすべてのトラフィックを拒否する暗黙のACEと理解できます。Cisco ASAおよびCisco PIXには、トラフィックが暗黙のdeny ACEをバイパスする可能性のある脆弱性が存在します。

注：この動作は、デバイスに適用されるすべてのACLの暗黙のdenyステートメントにのみ影響します。明示的なdenyステートメントを含むアクセスコントロールリスト(ACL)は、この脆弱性の影響を受けません。この脆弱性は非常にまれな状況で発生し、再現が非常に困難です。

セキュリティアプライアンスでパケットの寿命を追跡し、パケットトレーサツールでパケットが正常に動作しているかどうかを確認できます。packet-tracerコマンドは、パケットに関する詳細情報と、パケットがセキュリティアプライアンスでどのように処理されるかを示します。コンフィギュレーションからのコマンドによってパケットがドロップされなかった場合、packet-tracerコマンドは読みやすい方法で原因に関する情報を提供します。この機能を使用すると、ACLの暗黙の拒否が有効になっていないかどうかを確認できます。次の例は、暗黙のdenyがバイパスされることを示しています(result = ALLOW)。

<output truncated>
...
Phase: 2
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Config:
Implicit Rule
Additional Information:
 Forward Flow based lookup yields rule:
 in  id=0x1a09d350, priority=1, domain=permit, deny=false
	hits=1144595557, user_data=0x0, cs_id=0x0, l3_type=0x8
	src mac=0000.0000.0000, mask=0000.0000.0000
	dst mac=0000.0000.0000, mask=0000.0000.0000

<output truncated>

この脆弱性は、Cisco Bug ID CSCsq91277 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-1160が割り当てられています。

このセキュリティ アドバイザリでは、相互に独立した複数の脆弱性が説明されています。これらの脆弱性およびそれぞれ対応策は互いから独立しています。

VPN認証バイパスの脆弱性

アカウントの上書き機能は、tunnel-group general-attributesコンフィギュレーションモードでoverride-account-disableコマンドを使用して有効にします。回避策として、no override-account-disableコマンドを使用してこの機能を無効にします。

巧妙に細工されたHTTPパケットによるDoS脆弱性

SSL VPN（クライアントレスまたはクライアントベース）用に設定されているか、ASDM管理接続を受け入れているデバイスには脆弱性が存在します。

注： IPSecクライアントはこの脆弱性の影響を受けません。

SSL VPN（クライアントレスまたはクライアントベース）を使用しない場合、管理者はASDM接続が信頼できるホストからのみ許可されていることを確認する必要があります。

セキュリティアプライアンスがASDMのHTTPS接続を受け入れるIPアドレスを特定するには、信頼できるホストアドレスまたはサブネットごとにhttpコマンドを設定します。次の例は、IPアドレス192.168.1.100の信頼できるホストを設定に追加する方法を示しています。

hostname(config)# http 192.168.1.100 255.255.255.255

巧妙に細工されたTCPパケットによるDoS脆弱性

この脆弱性に対する回避策はありません。

巧妙に細工されたH.323パケットによるDoS脆弱性

H.323インスペクションが不要な場合は、無効にする必要があります。この機能を一時的に無効にすることで、この脆弱性を軽減できます。H.323インスペクションを無効にするには、no inspect h323コマンドを使用します。

SQL*NetパケットのDoS脆弱性

SQL*Netインスペクションが不要な場合は、無効にする必要があります。この機能を一時的に無効にすると、この脆弱性が緩和されます。SQL*Netインスペクションを無効にするには、no inspect sqlnetコマンドを使用します。

アクセスコントロールリスト(ACL)バイパスの脆弱性

回避策として、ACLが設定されているインターフェイスに適用されているaccess-group行を削除し、再度適用します。例：

ASA(config)#no access-group acl-inside in interface inside
ASA(config)#access-group acl-inside in interface inside

前の例では、acl-insideという名前のアクセスグループが削除され、内部インターフェイスに再適用されています。または、そのインターフェイスに適用されるACLの下部に明示的なdeny ip any any行を追加することもできます。例：

ASA(config)#access-list 100 deny ip any any

前の例では、すべてのIPトラフィックに対する明示的な拒否がaccess-list 100の最後に追加されています。

ネットワーク内のCiscoデバイスに適用可能な他の緩和策については、このアドバイザリに関連するCisco適用対応策速報(https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20090408-asa)を参照してください。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

次の表に、各脆弱性に対する最初の修正済みソフトウェアリリースを示します。「Recommended Release」行は、本アドバイザリの公開時点において公開済みであるすべての脆弱性に対する修正を含むリリースを示しています。特定の行で特定のリリースのバージョン（First Fixed Releaseより前）を実行しているデバイスには、脆弱性が存在することが確認されています。シスコでは、表の「Recommended Release」行のリリース、またはそれ以降のリリースにアップグレードすることを推奨しています。

修正済みのCisco ASAソフトウェアは、次の場所からダウンロードできます。

http://www.cisco.com/pcgi-bin/tablebuild.pl/ASAPSIRT

修正済みのCisco PIXソフトウェアは、次の場所からダウンロードできます。

http://www.cisco.com/pcgi-bin/tablebuild.pl/PIXPSIRT

Cisco PSIRTは、巧妙に細工されたTCPパケットによるDoSの脆弱性に対して、一般に公開されているプルーフオブコンセプト(POC)の不正利用を認識しています。Cisco PSIRTでは、本アドバイザリに記載されている他の脆弱性の不正利用事例とその公表は確認しておりません。

巧妙に細工されたTCPパケットによるDoSの脆弱性は、Verizon BusinessのGregory W. MacPhersonとRobert J. Comboによって発見され、シスコに報告されました。

ACLバイパスの脆弱性は、SecureWorksのJon Ramsey、Jeff Jarmoc、およびFernando Medrano氏によってシスコに報告されました。

Cisco PSIRTは、研究者と協力してセキュリティの脆弱性に関する調査を行う機会を非常に高く評価しており、製品レポートのレビューと支援を行う機会を歓迎しています。

その他の脆弱性はすべて、社内テストおよびお客様のサービスリクエストの解決中に発見されました。