Critical
Critical
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
影響を受けるActiveXコントロールは、Cisco ASAによってエンドポイントシステムに配布されます。ただし、この脆弱性の不正利用が成功しても、エンドポイントシステムに対する影響は限定され、Cisco ASAデバイスが危険にさらされることはありません。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。
この脆弱性に対しては回避策があります。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120314-asaclient
該当製品
脆弱性のある製品
該当するバージョン
影響を受けるリリース
Cisco適応型セキュリティアプライアンスソフトウェア7.x
7.1
7.2
Cisco適応型セキュリティアプライアンスソフトウェア8.x
8.0
8.1
8.2
8.3
8.4
8.6
注：Cisco ASAソフトウェアバージョン7.0および7.1は、ソフトウェアメンテナンスが終了しています。 Cisco ASAソフトウェアバージョン7.0または7.1をご使用のお客様は、サポートされているバージョンのCisco ASAソフトウェアへのアップグレードに関してシスコサポートチームにお問い合わせください。
注：影響を受けるCiscoクライアントレスVPNソリューションの実装は、Cisco ASAソフトウェアバージョン7.1のリリースで導入されました。 この問題は、Cisco PIXソフトウェアを実行しているデバイスには影響しません。
管理者は、show running-config webvpnコマンドを発行して、CiscoクライアントレスVPNソリューションがデバイスで有効になっているかどうかを確認できます。 次の例は、CiscoクライアントレスVPNソリューションが有効になっている場合の応答を示しています。
Microsoft Windowsを実行しているエンドユーザシステムで、ActiveXテクノロジーをサポートするブラウザから該当デバイスのCiscoクライアントレスVPN(WEBVPN)機能を使用している場合、この脆弱性の影響を受ける可能性があります。 B8E73359-3422-4384-8D27-4EA1B4C01232}のクラスID(CLSID)で登録されたcscopf.ocx ActiveXコントロールを含むデバイスが影響を受けます。 影響を受けるコントロールには、Safe for Scripting(SFS)とSafe for Initialization(SFI)の両方がマークされ、システムが影響を受けるコントロールを登録してキャッシュした場合に、さらに攻撃ベクトルが発生する可能性があります。ciscoasa# show running-config webvpn webvpn
enable outside
脆弱性を含んでいないことが確認された製品
- Ciscoファイアウォールサービスモジュールは、この脆弱性の影響を受けません
- Cisco適応型セキュリティアプライアンスサービスモジュールは、この脆弱性の影響を受けません
- CiscoクライアントレスVPNソリューション(WebVPN)を使用するCisco IOSソフトウェアベースデバイスは、この脆弱性の影響を受けません
他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。
詳細
Microsoft ActiveXテクノロジーをサポートするブラウザを使用してクライアントレスVPNトンネルを作成する場合、Cisco Port Forwarder ActiveXコントロールは、ブラウザが実行されているエンドポイントシステムに送信される場合があります。 このコントロールには、攻撃可能なバッファオーバーフローの脆弱性が含まれており、認証されていないリモートの攻撃者が、悪意のあるWebサイトにアクセスしてエンドポイントデバイスで攻撃者によって制御された任意のコードを実行するようにユーザを誘導する可能性があります。 攻撃者が提供するコードは、攻撃者が制御するWebサイトにアクセスするために使用されるブラウザを呼び出したユーザの権限で実行されます。 ユーザに管理者権限がある場合は、完全な侵害が発生する可能性があります。
Cisco ASAデバイスを修正済みコントロールを含むソフトウェアバージョンにアップグレードしても、影響を受けるコントロールをダウンロードしたエンドポイントシステムの問題は修正されません。 該当するエンドポイントシステムでは、このドキュメントの「回避策」セクションで推奨されている方法のいずれかで制御を無効にする必要があります。 また、エンドポイントシステムは、CiscoクライアントレスVPNソリューション経由で、修正済みのコントロールを含むソフトウェアバージョンを実行しているCisco ASAデバイスに接続して、そのコントロールを該当しないバージョンに更新することもできます。
エンドポイントシステムに読み込まれると、影響を受けるコントロールのバイナリ名はcscopf.ocxになり、システムに{B8E73359-3422-4384-8D27-4EA1B4C01232}のCLSIDで登録されます。cscopf.ocxコントロールの修正バージョンはCLSID {C861B75F-EE 32-4aa4-B661 0-281AF26A8D1C}です。
Microsoftは、シスコの要求に応じて、影響を受けるコントロールに対してグローバルキルビットを設定しました。 このキルビットが含まれたMicrosoftの更新プログラムの詳細は、Microsoftサポート技術情報の記事2695962に記載されており、2012年5月8日にリリースされました。Microsoftセキュリティアドバイザリは次のリンクで確認できます。Microsoft Security Advisory (2695962) Update Rollup for ActiveX Kill Bits
このアップデートが自動アップデートまたは手動で適用されると、影響を受けるコントロールは、アップデートが適用された影響を受けるエンドポイントで動作しなくなります。
このアドバイザリは、Cisco Clientless VPN機能が使用される場合にCisco ASAによって提供されるCisco Port Forwarder ActiveXコントロールの脆弱性に対処します。 この問題は、Cisco Bug ID CSCtr00165(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2012-0358が割り当てられています。
回避策
エンドユーザまたは管理者は、影響を受けるActiveXコントロールのキルビットを設定することで、攻撃ベクトルとしてInternet Explorerを軽減できます。 これは、影響を受けるマシン上でレジストリを直接変更するか、Active Directoryグループポリシーを使用して変更することで実現できます。
警告： Microsoft Windowsベースのデバイスのシステムレジストリを誤って変更すると、重大な問題が発生する可能性があります。 シスコおよびMicrosoftは、.regファイルを介してレジストリの変更を適用するか、レジストリエディタを誤って使用することにより、レジストリの不適切な変更によって発生する問題を解決できることを保証できません。 システムのレジストリは、ユーザ自身の責任で変更してください。
{B8E73359-3422-4384-8D27-4EA1B4C01232}の値を持つCLSIDにキルビットを設定するには、メモ帳などのテキストエディタに次のテキストを貼り付けます。 ファイル拡張子.regを使用してファイルを保存します。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{B8E73359-3422-4384-8D27-4EA1B4C01232}]
"Compatibility Flags"=dword:04000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\ActiveX Compatibility\{B8E73359-3422-4384-8D27-4EA1B4C01232}]
"Compatibility Flags"=dword:04000400
エンドユーザは、ファイルをダブルクリックすることで、この.regファイルを個々のシステムに適用できます。 管理者は、グループポリシーを使用して、ドメイン間でレジストリの変更を適用することもできます。 グループポリシーの使用の詳細については、Microsoft TechNetの記事「Group Policy Collection
レジストリの変更が適用されたら、変更を有効にするためにMicrosoft Internet Explorerを再起動する必要があります。 キルビットが設定されると、CiscoクライアントレスVPNシステムや悪意のあるWebページがInternet Explorerからアクセスしたときに、該当するコントロールにアクセスできなくなります。 この変更は、Cisco Port Forwarder ActiveXコントロールを使用する一部のクライアントレスインストールに影響を与える可能性があります。動作を停止する可能性のある一般的なコンポーネントの1つは、ActiveX RDPプラグインです。
ネットワーク内のシスコデバイスに適用可能な対応策は、このアドバイザリの付属ドキュメントである『Cisco Applied Intelligence』にて参照できます。https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20120314-asaclient
注：上記の回避策が適用されている場合、アップデートされたActiveXコントロールまたはMicrosoft Kill Bitアップデートがエンドポイントデバイスに適用されると、レジストリのkill bit値が0x00000400から0x04000400に変更されます。 この変更により、引き続き影響を受けるActiveXコントロールの実行がブロックされます。 上記のレジストリ変更では、バイナリビヘイビアーのキルビットとActiveXのキルビットも設定されます。 Windows Server 2003以降では、バイナリビヘイビアのキルビットがサポートされており、追加の保護機能を提供する可能性があります。 バイナリビヘイビアのキルビットをサポートしていないプラットフォームでは、この設定は無視され、ビットマスクのActiveX部分だけが使用されます。
修正済みソフトウェア
ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。
該当するバージョン
First Fixed Release（修正された最初のリリース）
推奨リリース
Cisco ASA 7.0
脆弱性なし
7.2以降に移行
Cisco ASA 7.1
Vulnerable
脆弱性あり、7.2以降に移行
Cisco ASA 7.2
7.2（5.6） 7.2（5.7） Cisco ASA 8.0
8.0（5.26） 8.2(5.26)以降に移行
Cisco ASA 8.1
8.1（2.53） 8.2(5.26)以降に移行
Cisco ASA 8.2
8.2（5.18） 8.2（5.26）
Cisco ASA 8.3
8.3（2.28） 8.4(3.8)以降に移行
Cisco ASA 8.4
8.4（2.16）
8.4（3.8）
Cisco ASA 8.5
脆弱性なし
8.5（1.7）
Cisco ASA 8.6
8.6（1.1）
8.6（1.1）
注：Cisco ASAソフトウェアバージョン7.0および7.1は、ソフトウェアメンテナンスが終了しています。Cisco ASAソフトウェアバージョン7.0または7.1をご使用のお客様は、サポートされているバージョンのCisco ASAソフトウェアへのアップグレードに関してシスコサポートチームにお問い合わせください。
注：推奨リリースには、このドキュメントで公開されているすべてのアドバイザリのすべての脆弱性に対する修正が含まれています。シスコでは、これらの推奨リリース、またはそれ以降のリリースにアップグレードすることを推奨します。
注： Cisco ASAデバイスを、Cisco Port Forwarder ActiveXコントロールの修正済みバージョンを含むソフトウェアバージョンにアップグレードしても、該当するエンドポイントシステムの脆弱性は削除されません。 該当するエンドポイントシステムは、CiscoクライアントレスWebソリューション経由で修正済みソフトウェアを実行しているCisco ASAデバイスに接続して修正済みバージョンをダウンロードするか、このドキュメントの「回避策」セクションで説明されている方法のいずれかを使用して該当するコントロールを無効にする必要があります。
推奨事項
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。
この脆弱性は、CERT/CCのWill Dormann氏によってシスコに報告されました。
URL
改訂履歴
| リビジョン 1.1 | 2012年5月15日 | 2012年5月8日のMicrosoft Global Kill Bitアップデートリリースに関する情報を追加 |
| リビジョン 1.0 | 2012年3月14日 | 初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。