Cisco ASA 1000VクラウドファイアウォールH.323インスペクションに関するDoS脆弱性

H.323インスペクションが有効になっている場合、Cisco ASA 1000Vクラウドファイアウォール用のCisco ASAソフトウェアのバージョン8.7.1および8.7.1.1がこの脆弱性の影響を受けます。H.225およびRegistration, Admission and Status(RAS)メッセージに対するH.323インスペクションは、デフォルトで有効になっています。

この脆弱性は、H.225メッセージに対するH.323インスペクションが有効になっている場合にのみ存在します。 RASメッセージに対するH.323インスペクションは、この脆弱性には影響しません。

H.323 H.225インスペクションが有効になっているかどうかを判断するには、show service-policy inspect h323 h225コマンドを発行して、クラスマップがH.225インスペクションエンジンで設定されていることを確認します。H.225メッセージのH.323インスペクションが設定されている場合、関連するH.323出力は参照先のクラスマップの下に表示されます。

次に出力例を示します。

ASA1000v# show service-policy inspect h323 h225 
Global policy: 
  Service-policy: global_policy
    Class-map: inspection_default
      Inspect: h323 h225 _default_h323_map, packet 0, lock fail 0, drop 0, reset-drop 0
               tcp-proxy: bytes in buffer 0, bytes dropped 0
        h245-tunnel-block drops 0 connection

注：上記の出力は、H.225メッセージに対するH.323インスペクションが適用されたクラスマップを持つポリシーマップを示しています。

または、H.225メッセージに対するH.323インスペクションが有効になっているデバイスは、次のような設定になっています。

class-map inspection_default 
 match default-inspection-traffic
!
policy-map global_policy
 class inspection_default
  ...
  inspect h323 h225
  ...
!
service-policy global_policy global

注：上の例はグローバルアプリケーションを示していますが、サービスポリシーは特定のインターフェイスにも適用できます

Cisco Adaptive Security Device Manager(ASDM)を使用してデバイスを管理している場合は、グローバルポリシーまたはインターフェイス固有のポリシーの下のサービスポリシーセクションをチェックして、インスペクションが有効になっているかどうかを判断できます。

Cisco Virtual Network Management Center(VNMC)を使用して複数のデバイスを管理している場合は、Policy Management > Security Policies > Root > Tenant > Data Center > Policiesの下のPacket Inspectionセクションで、インスペクションが有効になっているかどうかを確認できます。

実行中のCisco ASA 1000Vクラウドファイアウォール用のCisco ASAソフトウェアのバージョンを確認するには、Cisco ASA 1000Vコマンドラインからshow versionコマンドを発行します。

次の例は、該当するソフトウェアバージョン(8.7.1)を実行しているシステムを示しています。

ASA1000v(config)# show version
Cisco Adaptive Security Appliance Software Version 8.7(1)
Device Manager Version 6.3(5)

Cisco Adaptive Security Device Manager（ASDM）を使用してデバイスを管理している場合は、ログイン ウィンドウの表、または ASDM ウィンドウの左上にソフトウェアのバージョンが表示されます。 

または、VMware vCenter ServerのCisco ASA 1000V Cloud FirewallリソースのSummaryタブからバージョン情報を取得することもできます。

Cisco ASA 1000Vクラウドファイアウォールを除き、この脆弱性の影響を受けるシスコ製品は現在確認されていません。