CiscoファイアウォールサービスモジュールのカットスループロキシにおけるDoS脆弱性

Cisco FWSMは、カットスループロキシ機能が有効な場合、この脆弱性の影響を受けます。この機能は、matchコマンドまたはincludeコマンドを使用して、認証、認可、およびアカウンティング(AAA)に対してイネーブルにできます。この機能が使用されているかどうかを確認するには、show running-config aaa authentication| include match|includeコマンドを使用して、出力が返されることを確認します。外部AAAサーバまたはAAA用のCisco FWSMローカルユーザデータベースを使用する設定には脆弱性が存在します。

次の例は、アクセスリストSERVER_AUTHに一致するトラフィックを、AuthOutboundという外部AAAサーバ経由で認証するように設定されたCisco FWSMを示しています。この例の設定は、matchコマンドを使用して実装されています。

FWSM/admin# show running-config aaa authentication| include match|include 
aaa authentication match SERVER_AUTH inside AuthOutbound

次の例は、includeコマンドを使用して実装された、同等の設定を示しています。

FWSM/admin# show running-config aaa authentication| include match|include 
aaa authentication include SERVER_AUTH inside AuthOutbound

Cisco FWSMソフトウェアでは、カットスループロキシ機能はデフォルトで有効になっていません。

実行ソフトウェア バージョンの判別

デバイスで実行されているCisco FWSMソフトウェアのバージョンを確認するには、次の例に示すように、管理者はshow versionコマンドを発行できます。

FWSM> show version

FWSM Firewall Version 4.0(16)
[...]

Cisco Adaptive Security Device Manager(ASDM)を使用してデバイスを管理している場合は、ログインウィンドウの表、またはCisco ASDMウィンドウの左上隅に表示されるソフトウェアのバージョンを確認できます。バージョン表記は次の例のようになります。

FWSM Version: 4.0(16)

バージョン情報は、Cisco Catalyst 6500シリーズスイッチまたはCisco 7600シリーズルータからも入手できます。  デバイスで実行されているCisco FWSMソフトウェアのバージョンを確認するには、Cisco IOSソフトウェアまたはCisco Catalystオペレーティングシステムソフトウェアからshow moduleコマンドを発行して、システムにインストールされているモジュールとサブモジュールを確認します。

次の例は、スロット2にCisco FWSM(WS-SVC-FWM-1)がインストールされているシステムを示しています。

switch>show module
Mod Ports Card Type                              Model              Serial No.
--- ----- -------------------------------------- ------------------ -----------
  1   16  SFM-capable 16 port 1000mb GBIC        WS-X6516-GBIC      SAL06334NS9
  2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485
  3    8  Intrusion Detection System             WS-SVC-IDSM-2      SAD0932089Z
  4    4  SLB Application Processor Complex      WS-X6066-SLB-APC   SAD093004BD
  5    2  Supervisor Engine 720 (Active)         WS-SUP720-3B       SAL0934888E

Mod MAC addresses                       Hw    Fw           Sw           Status
--- ---------------------------------- ------ ------------ ------------ -------
  1  0009.11e3.ade8 to 0009.11e3.adf7   5.1   6.3(1)       8.7(0.22)BUB Ok
  2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       4.0(16)      Ok
  3  0014.a90c.9956 to 0014.a90c.995d   5.0   7.2(1)       7.0(4)E4     Ok
  4  0014.a90c.66e6 to 0014.a90c.66ed   1.7   Unknown      Unknown      PwrDown
  5  0013.c42e.7fe0 to 0013.c42e.7fe3   4.4   8.1(3)       12.2(33)SXH8 Ok

[...]

正しいスロットの場所を確認した後、show module <slot number>コマンドを発行して、次の例に示すように、実行中のソフトウェアバージョンを識別します。

switch>show module 2
Mod Ports Card Type                              Model              Serial No.
--- ----- -------------------------------------- ------------------ -----------
  2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

Mod MAC addresses                       Hw    Fw           Sw           Status
--- ---------------------------------- ------ ------------ ------------ -------
  2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       4.0(16)      Ok

[...]

上の例は、Cisco FWSMがソフトウェアバージョン4.0(16)を実行していることを示しています（Sw列を参照）。

仮想スイッチングシステム(VSS)を使用して、2台の物理的なCisco Catalyst 6500シリーズスイッチを1つの論理仮想スイッチとして動作させることができる場合は、show module switch allコマンドを使用して、スイッチ1とスイッチ2に属するすべてのFWSMのソフトウェアバージョンを表示できます。このコマンドの出力は、show module <slot number>の出力に似ていますが、VSSの各スイッチのモジュールに関するモジュール情報が含まれています。

Cisco ASAソフトウェアは、この脆弱性の影響を受けません。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。