Medium
Medium
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco IOS®ソフトウェアには、アクセスコントロールリスト(ACL)のオブジェクトグループ機能の使用時に、認証されていない攻撃者がアクセスコントロールポリシーをバイパスする可能性のある脆弱性が存在します。シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。ACLのオブジェクトグループ機能を無効にする以外に、この脆弱性に対する回避策はありません。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090923-acl で公開されています。
注：2009年9月23日のCisco IOSセキュリティアドバイザリバンドル公開には11件のSecurity Advisoryが含まれています。10 件のアドバイザリは Cisco IOS ソフトウェアの脆弱性に対処するもので、 1 件は Cisco Unified Communications Manager の脆弱性に対処するものです。各アドバイザリには、そのアドバイザリで詳述された脆弱性を解決するリリースを記載しています。
個々の公開リンクは、次のリンクの「Cisco Event Response: Semiannual Cisco IOS Software Advisory Bundled Publication」に掲載されています。
http://www.cisco.com/web/about/security/intelligence/Cisco_ERP_ sep09.html
該当製品
脆弱性のある製品
オブジェクトグループ機能を使用するACLが設定され、該当するCisco IOSソフトウェアバージョンを実行しているシスコデバイスは、この脆弱性の影響を受けます。
注：ACLのオブジェクトグループ機能は、Cisco IOSソフトウェアバージョン12.4(20)Tで導入されました。
Cisco IOSデバイスでオブジェクトグループが設定されているかどうかを確認するには、ユーザEXECモードまたは特権EXECモードでshow object-groupコマンドを使用します。次の例は、オブジェクトグループが設定されている場合のshow object-groupコマンドからの出力例を示しています。
Router# show object-group Network object group my_host_group host 172.18.104.123 Service object group my_allowed_services tcp eq www tcp eq 443
または、管理者はshow running config | include ^ (permit|deny) .*object-group コマンドを使用して、オブジェクトグループが設定されているかどうかを確認できます。次に例を示します。
Router#show running-config | include ^ (permit|deny) .*object-group permit object-group my_allowed_services host 10.10.1.1 host 10.20.1.1 permit tcp any object-group my_host_group eq 22
シスコ製品で稼働している Cisco IOS ソフトウェア リリースを確認するには、デバイスにログインして show version コマンドを使って、システム バナーを表示します。"Internetwork Operating System Software"、"Cisco IOS Software" あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。 その後ろにイメージ名が括弧の間に表示され、続いて "Version" と Cisco IOS ソフトウエア リリース名が表示されます。他のシスコ デバイスでは、show version コマンドが存在しなかったり、別の出力が表示されたりします。
以下の例は、Cisco 製品にて、IOSリリース 12.3(26) が稼動し、そのイメージ名が C2500-IS-L であることを示しています:
Router#show version Cisco Internetwork Operating System Software IOS (tm) 2500 Software (C2500-IS-L), Version 12.3(26), RELEASE SOFTWARE (fc2) Technical Support: http://www.cisco.com/techsupport Copyright (c) 1986-2008 by cisco Systems, Inc. Compiled Mon 17-Mar-08 14:39 by dchih !--- output truncated
次の例は、インストールされたイメージ名が C1841-ADVENTERPRISEK9-M で、Cisco IOS ソフトウェア リリース 12.4(20)T を実行しているシスコ製品を示しています。
Router#show version Cisco IOS Software, 1841 Software (C1841-ADVENTERPRISEK9-M), Version 12.4(20)T, RELEASE SOFTWARE (fc3) Technical Support: http://www.cisco.com/techsupport Copyright (c) 1986-2008 by Cisco Systems, Inc. Compiled Thu 10-Jul-08 20:25 by prod_rel_team !--- output truncated
脆弱性を含んでいないことが確認された製品
注：ポリシーベースACL(PBACL)のCisco Catalyst 6500オブジェクトグループ機能は、この脆弱性の影響を受けません。
オブジェクトグループが設定されていないシスコデバイスには脆弱性は存在しません。
Cisco IOS XEソフトウェアおよびCisco IOS XRソフトウェアは、この脆弱性の影響を受けません。
他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。
詳細
Cisco IOSソフトウェアでは、オブジェクトグループに1つのオブジェクト（単一のIPアドレス、ネットワーク、サブネットなど）または複数のオブジェクト（複数のIPアドレス、ネットワーク、サブネットの組み合わせなど）を含めることができます。オブジェクトグループに基づくACLでは、管理者は、それぞれに異なるIPアドレスが必要な多数のACEを作成する代わりに、オブジェクトグループ名を使用する単一のアクセスコントロールエントリ(ACE)を作成できます。プロトコルポートグループなどの同様のオブジェクトグループを拡張して、ユーザグループの一連のアプリケーションへのアクセスをサーバグループに制限できます。
注：ポリシーベースACL(PBACL)のCisco Catalyst 6500オブジェクトグループ機能は、この脆弱性の影響を受けません。
Cisco IOSソフトウェアには脆弱性があり、ACLのオブジェクトグループ機能が使用される際に、認証されていない攻撃者がアクセスコントロールポリシーをバイパスできる可能性があります。
注：ACLのオブジェクトグループ機能は、Cisco IOSソフトウェアバージョン12.4(20)Tで導入されました。
この脆弱性は、次のCisco Bug IDに記述されています。
-
CSCsx07114(登録ユーザのみ)
-
CSCsu70214(登録ユーザのみ)
-
CSCsw47076(登録ユーザのみ)
-
CSCsv48603(登録ユーザのみ)
-
CSCsy54122(登録ユーザのみ)
-
CSCsu50252(登録ユーザのみ)
この脆弱性に対してCommon Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-2862が割り当てられています。
回避策
ACLのオブジェクトグループ機能を無効にする以外に、この脆弱性に対する回避策はありません。
修正済みソフトウェア
アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。
Cisco IOS ソフトウェアの表（下掲）の各行には、Cisco IOS のリリース トレインが記載されています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（および、それぞれの予想提供日）が表の「第 1 修正済みリリース」列に記載されます。「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。
|
メジャー リリース |
修正済みリリースの入手可能性 |
|
|---|---|---|
|
Affected 12.0-Based Releases |
First Fixed Release（修正された最初のリリース） |
推奨リリース |
|
該当する12.0ベースのリリースはありません。 |
||
|
Affected 12.1-Based Releases |
First Fixed Release（修正された最初のリリース） |
推奨リリース |
|
該当する12.1ベースのリリースはありません。 |
||
|
Affected 12.2-Based Releases |
First Fixed Release（修正された最初のリリース） |
推奨リリース |
|
該当する12.2ベースのリリースはありません。 |
||
|
Affected 12.3-Based Releases |
First Fixed Release（修正された最初のリリース） |
推奨リリース |
|
該当する12.3ベースのリリースはありません。 |
||
|
Affected 12.4-Based Releases |
First Fixed Release（修正された最初のリリース） |
推奨リリース |
|
脆弱性なし |
||
|
脆弱性あり。このアドバイザリの「修正済みソフトウェアの取得」セクションの手順に従って、サポート組織にお問い合わせください |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
12.4(22)MD1 |
12.4(11)MD9 12.4(15)MD3 12.4(22)MD1 |
|
|
12.4(22)MDA1 |
12.4(22)MDA1 |
|
|
脆弱性なし |
||
|
脆弱性なし |
||
|
12.4(22)T2 12.4(20)T4 12.4(24)T1 |
12.4(20)T4 12.4(22)T3 12.4(24)T2（2009年10月23日に入手可能） |
|
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性なし |
||
|
脆弱性あり(最初の修正は12.4T) |
12.4(20)T4 12.4(22)T3 12.4(24)T2（2009年10月23日に入手可能） |
|
|
脆弱性あり(最初の修正は12.4T) |
12.4(22)T3 12.4(24)T2（2009年10月23日に入手可能） |
|
|
12.4(22)YB4 |
12.4(22)YB4 |
|
|
12.4(22)YD1 |
12.4(22)YD1 |
|
|
12.4(22)YE1 |
12.4(22)YE1 |
|
|
脆弱性なし |
||
注：Cisco IOS-XEまたはCisco IOS Software Modularityリリースはこの脆弱性の影響を受けません。
推奨事項
不正利用事例と公式発表
Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。
この脆弱性は内部テストで発見されました。
URL
改訂履歴
|
リビジョン 1.0 |
2009年9月23日 |
初版リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。