Critical
Critical
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
- 2つの認証されたコマンドインジェクションの脆弱性
- 管理GUIのDoS脆弱性
これらの脆弱性は互いに独立しています。いずれかの脆弱性の影響を受けるリリースが、他の脆弱性の影響を受けることはありません。
2つのコマンドインジェクションの脆弱性のいずれかが悪用されると、認証されたリモートの攻撃者が、昇格された特権を使用して基盤となるオペレーティングシステムで任意のコマンドを実行する可能性があります。
Management GUIのDoS脆弱性が悪用されると、いくつかの重要なプロセスが応答しなくなり、該当システムが不安定になる可能性があります。
シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。これらの脆弱性に対しては回避策があります。このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-wsa
該当製品
脆弱性のある製品
このアドバイザリに記載されている脆弱性の一部は、Cisco Content Security ManagementおよびCisco Eメールセキュリティアプライアンス用のCisco IronPort Async OSに影響を与えます。
Ciscoコンテンツセキュリティ管理アプライアンスに影響を及ぼす脆弱性についての詳細は、CiscoセキュリティアドバイザリCiscoコンテンツセキュリティ管理アプライアンスの複数の脆弱性(https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-sma)およびCiscoセキュリティアドバイザリCisco Eメールセキュリティアプライアンスの複数の脆弱性(https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-esa)を参照してください。
実行中のソフトウェアバージョンの確認
脆弱性のあるバージョンのCisco Web Security用Cisco IronPort AsyncOSソフトウェアがアプライアンスで実行されているかどうかを確認するには、versionコマンドを発行します。次の例は、Cisco IronPort AsyncOSソフトウェアバージョン7.5.1-079を実行しているデバイスを示しています。
ciscowsa> version
Current Version
===============
Product: Cisco IronPort S670 Web Security Appliance
Model: S670
Version: 7.5.1-079
脆弱性を含んでいないことが確認された製品
詳細
認証されたコマンドインジェクションの脆弱性
Webフレームワークコードの2つの脆弱性により、認証されたリモートの攻撃者が、昇格された特権を使用して基盤となるオペレーティングシステムで任意のコマンドを実行する可能性があります。
この脆弱性は、デバイスの基盤となるコマンドラインインターフェイスを活用するアクションを実行するために使用される、ユーザが指定する入力を適切にサニタイズできないことに起因します。認証された非特権の攻撃者は、巧妙に細工されたURLを該当システムに送信するか、または悪意のあるURLを有効なユーザにクリックさせることで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は該当デバイスを完全に制御できるようになる可能性があります。
これらの脆弱性は、該当システムの管理IPアドレス宛てのIPv4トラフィックによってのみ引き起こされます。
これらの脆弱性は、デフォルトの管理ポートであるTCPポート8080またはTCPポート8443経由で不正利用される可能性があります。
注：デフォルトの管理ポートはシステム上で再設定できます。
これらの脆弱性は、Cisco Bug ID CSCzv69294(登録ユーザ専用)およびCSCzv85726(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2013-3383およびCVE-2013-384が4割0されています。管理GUIのDoS脆弱性
Webフレームワークコードのグラフィカルユーザインターフェイス(GUI)機能の脆弱性により、認証されていないリモートの攻撃者が複数のプロセスを応答不能にし、サービス妨害(DoS)状態を引き起こす可能性があります。
この脆弱性は、HTTPおよびHTTPS接続の不適切な処理、処理、および終了に起因します。攻撃者は、該当システムの管理対応インターフェイスに複数のHTTPまたはHTTPS要求を送信することで、この脆弱性を不正利用する可能性があります。この脆弱性を不正利用するには、完全なTCP 3ウェイハンドシェイクが必要です。この不正利用により、攻撃者はGUIを介した管理アクセスを妨げ、他の重要なプロセスが応答しなくなる可能性があり、その結果、サービス妨害(DoS)状態が発生します。完全な機能を復元するには、該当するシステムのハードリブートが必要です。
この脆弱性は、該当システムの管理IPアドレス宛てのIPv4トラフィックによってのみトリガーされます。この脆弱性は、デフォルトの管理ポートであるTCPポート8080またはTCPポート8443で不正利用される可能性があります。
注：デフォルトの管理ポートはシステム上で再設定できます。
この脆弱性は、Cisco Bug ID CSCzv58669(登録ユーザ専用)として文書化され、CVE ID CVE-2013-3385が割り当てられています。回避策
管理者はinterfacecfgコマンドを使用して、GUIによるアプライアンス管理を無効にすることができます。または、GUIでNetwork-> IP interfaces-> Editの順に選択し、Disable Appliance Managementを選択して、管理インターフェイスのプロパティを編集することもできます。
注： 管理者は、GUIアクセスを無効にしたまま、SSHおよびコマンドラインインターフェイス(CLI)を使用して該当システムを管理できます。ただし、すべてのコマンドと機能がコマンドラインインターフェイスで使用できるとは限りません。
管理者は、管理インターフェイスにアクセスできるIPアドレスを制限することで、攻撃対象を制限することもできます。これを行うには、adminaccessconfigコマンドを使用し、メニューからIPACCESSを選択します。
管理者は、プラットフォームおよびソフトウェアリリースでクロスサイトリクエストフォージェリ(CSRF)保護が使用可能な場合は、これを実装する必要もあります。これにより、コマンドインジェクションの脆弱性の攻撃対象を制限できますが、完全に排除できるわけではありません。
回避策の詳細については、このアドバイザリに関連する『Applied Mitigation Bulletin(AMB)』を参照してください。AMBは次の場所にあります。
https://sec.cloudapps.cisco.com/security/center/viewAMBAlert.x?alertId=29452
修正済みソフトウェア
ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt のシスコ セキュリティ アドバイザリ、応答、および通知のアーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。
次の表に、2つの認証済みコマンドインジェクションの脆弱性に対する修正が含まれた最初の修正済みリリースを示します。| メジャー リリース |
最初の修正 |
| 7.1以前 |
7.1.3-033 および 7.1.4-101 |
| 7.5 | 7.5.0-838 |
| 7.7 | 7.7.0-550 |
次の表に、管理GUIのサービス拒否の脆弱性に対する修正が含まれた、最初の修正済みリリースを示します。
| メジャー リリース |
最初の修正 |
| 7.1以前 |
7.1.3-033 および 7.1.4-101 |
| 7.5 | 7.5.0-838 および 7.5.1-201 |
| 7.7 | 7.7.0-602 |
次の表に、このセキュリティアドバイザリに記載されているすべての脆弱性に対する修正を含む推奨リリースを示します。
| メジャー リリース |
推奨 |
| 7.1以前 |
7.5.1-201 以降 |
| 7.5 | 7.5.1-201 以降 |
| 7.7 | 7.7.0-602 以降 |
推奨事項
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例とその公表は確認しておりません。
これらの脆弱性は、該当製品に対する社内セキュリティレビューで発見されたものです。
URL
改訂履歴
| リビジョン 1.0 | 2013年6月26日 | 初版リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。