Cisco 適応型セキュリティ アプライアンス（ASA）の Web サービスにおける Denial of Service（DoS）の脆弱性

この脆弱性は、次のシスコ製品上で実行される Cisco ASA ソフトウェアおよび Cisco Firepower Threat Defense（FTD）ソフトウェアに影響を及ぼします。

• 3000 シリーズ産業用セキュリティ アプライアンス（ISA）
• ASA 1000V クラウド ファイアウォール
• ASA 5500 シリーズ適応型セキュリティ アプライアンス
• Cisco ASA 5500-X シリーズ次世代ファイアウォール製品群
• Cisco Catalyst 6500 シリーズ スイッチおよび Cisco 7600 シリーズ ルータ用の ASA サービス モジュール
• 適応型セキュリティ仮想アプライアンス（ASAv）
• FirePOWER 2100 シリーズ セキュリティ アプライアンス
• Firepower 4100 シリーズ セキュリティ アプライアンス
• FirePOWER 9300 ASA セキュリティ モジュール
• FTD Virtual（FTDv）

ASA ソフトウェア

次の表の左側の列に、脆弱な可能性のある Cisco ASA 機能を示します。また右の列には、show running-config CLI コマンドで判断可能な、この機能の基本設定を示します。デバイスにこれらの機能のいずれかが設定されている場合は、デバイスが脆弱かどうかの確認について追加の指示に従ってください。

Cisco ASA 機能	脆弱性の可能性がある設定
Adaptive Security Device Manager（ASDM）1	http server enable <port> http <remote_ip_address> <remote_subnet_mask> <interface_name>
AnyConnect IKEv2 Remote Access（クライアント サービス有効時）	crypto ikev2 enable <interface_name> client-services port <port #> webvpn    anyconnect enable
AnyConnect IKEv2 Remote Access（クライアント サービス無効時）	crypto ikev2 enable <interface_name> webvpn    anyconnect enable
AnyConnect SSL VPN	webvpn    enable <interface_name>
Cisco Security Manager 2	http server enable <port> http <remote_ip_address> <remote_subnet_mask> <interface_name>
クライアントレス SSL VPN	webvpn    enable <interface_name>
カットスルー プロキシ（同じポートで他の脆弱な機能と組み合わせて使用していない限り脆弱性は存在しない）	aaa authentication listener <interface_name> port <number>
ローカル認証局（CA）	crypto ca server  no shutdown
Mobile Device Manager（MDM）プロキシ3	mdm-proxy   enable <interface_name>
モバイル ユーザ セキュリティ（MUS）	webvpn  mus password <password>  mus server enable port <port #>  mus <address> <mask> <interface_name>
Proxy Bypass	webvpn   proxy-bypass
REST API4	rest-api image disk0:/<image name> rest-api agent

^{1ASDM は、}http コマンドで設定された範囲の IP アドレスに対してのみ脆弱です。
^{2 Cisco Security Manager は、}http コマンドで設定された範囲の IP アドレスに対してのみ脆弱です。
^{3 MDM プロキシは、Cisco ASA ソフトウェア リリース 9.3.1 からサポートされています。
4 REST API は、Cisco ASA ソフトウェア リリース 9.3.2 からサポートされています。}http コマンドで設定された範囲の IP アドレスに対してのみ脆弱です。

脆弱な可能性のある機能が設定されている ASA が脆弱かどうかについて確認する

ステップ1:管理者はshow asp table socket | include SSL|DTLSコマンドを使用して、セキュアソケットレイヤ(SSL)またはDatagram Transport Layer Security(DTLS)リスニングソケットが任意のTCPポート上にあることを確認します。コマンドの実行結果にどちらかのソケットが表示され、ASA デバイスで上記の表の ASA 機能が 1 つ以上設定されている場合、そのデバイスには脆弱性が存在すると考えられます。次の例は、SSL と DTLS のリスニング ソケットが設定されている ASA デバイスを示しています。

ciscoasa# show asp table socket | include SSL|DTLS

SSL       00185038  LISTEN     172.16.0.250:443    0.0.0.0:*
SSL       00188638  LISTEN     10.0.0.250:443      0.0.0.0:*
DTLS      0018f7a8  LISTEN     10.0.0.250:443      0.0.0.0:*    

ステップ2:管理者はshow processes | include Unicorn コマンドを使用して、脆弱性のあるプロセスがデバイスで実行されているかどうかを確認できます。これは、脆弱な可能性のある機能のうちの 1 つによって内部 Web サーバのインスタンスが作成されたこと、つまり脆弱であることを意味します。Unicorn プロキシ スレッドが存在している場合、そのデバイスは脆弱であると考えられます。

ciscoasa# show processes | include Unicorn

Mwe 0x0000557f9f5bafc0 0x00007f62de5a90a8 0x0000557fa52b50a0       3632 0x00007f62c8c87030 30704/32768 Unicorn Proxy Thread 218

注：前の例のUnicornプロキシスレッド識別子は218であり、これは異なる場合があります。実際のスレッド ID 番号に関係なく、Unicorn プロキシ スレッドのプロセスが実行中の場合、デバイスは脆弱であるとみなされます。

実行している ASA ソフトウェア リリースの確認

デバイスで実行している Cisco ASA ソフトウェアが脆弱なリリースかどうかについては、管理者が CLI で show version | include Version コマンドを実行することで確認できます。 | Include Version コマンドを実行することで確認できます。デバイスが Cisco ASA ソフトウェア リリース 9.2(1) を実行している場合は、コマンドの出力は次の例のようになります。

ciscoasa# show version | include Version

Cisco Adaptive Security Appliance Software Version 9.2(1)
Device Manager Version 7.4(1)

Cisco Adaptive Security Device Manager（ASDM）を使用してデバイスを管理している場合は、ログイン ウィンドウに表示される表、または Cisco ASDM ウィンドウの左上に、ソフトウェア リリースが表示されます。

FTD ソフトウェア

この脆弱性は、脆弱ではないリリース 6.2.0 を除き、すべての Cisco FTD ソフトウェア リリースに当てはまります。Cisco FTD ソフトウェアの修正済みリリースについては、「修正済みリリース」セクションを参照してください。この Cisco FTD ソフトウェア リリースには、Firepower のコードと ASA のコードが両方含まれています。詳細については、『Cisco Firepower Compatibility Guide（Cisco Firepower 互換性ガイド）』の「Firepower Threat Defense Devices（Firepower Threat Defense デバイス）」を参照してください。

次の表の左側の列に、脆弱な可能性のある Cisco FTD 機能を示します。また右の列には、show running-config CLI コマンドで判断可能な、この機能の基本設定を示します。デバイスにこれらの機能のいずれかが設定されている場合は、デバイスが脆弱かどうかの確認について追加の指示に従ってください。

Cisco FTD 機能	脆弱性の存在するコンフィギュレーション
HTTP サービス有効 1	http server enable <port #> http <remote_ip_address> <remote_subnet_mask> <interface_name>
AnyConnect IKEv2 Remote Access（クライアント サービス有効時）2、3	crypto ikev2 enable <interface_name> client-services port <port #> webvpn   anyconnect enable
AnyConnect IKEv2 Remote Access（クライアント サービス無効時）2、3	crypto ikev2 enable <interface_name> webvpn   anyconnect enable
AnyConnect SSL VPN2、3	webvpn   enable <interface_name>

^{1 HTTP 機能は、Firepower Management Console（FMC）の} [Firepower Threat Defenseプラットフォーム設定（Firepower Threat Defense Platform Settings）] > [HTTP] で有効にできます
^{2 リモート アクセス VPN 機能は、Cisco FMC で} [デバイス（Devices）] > [VPN] > [リモートアクセス（Remote Access）]、または、Cisco Firepower Device Manager（FDM）の [デバイス（Devices）] > [リモートアクセスVPN（Remote Access VPN）] で有効にできます。
^{3 リモート アクセス VPN 機能は、Cisco FTD ソフトウェア リリース 6.2.2 からサポートされています。}

脆弱な可能性のある機能が設定されている Cisco FTD が脆弱かどうかについて確認する

ステップ1:管理者はshow asp table socket | include SSL|DTLSコマンドを使用して、任意のTCPポートでSSLまたはDTLSリスニングソケットを検索します。コマンドの実行結果にどちらかのソケットが表示され、FTD デバイスで上記の表にリストされている機能の 1 つ以上が設定されている場合、そのデバイスには脆弱性が存在すると考えられます。次の例は、SSL と DTLS のリスニング ソケットが設定されている FTD デバイスを示しています。

firepower# show asp table socket | include SSL|DTLS

SSL       01ffb648  LISTEN     1.1.1.1:443         0.0.0.0:* 
DTLS      00009438  LISTEN     1.1.1.1:443         0.0.0.0:*   

ステップ2:管理者はshow processes | include Unicorn コマンドを使用して、脆弱性のあるプロセスがデバイスで実行されているかどうかを確認できます。これは、脆弱な可能性のある機能のうちの 1 つによって内部 Web サーバのインスタンスが作成されたこと、つまり脆弱であることを意味します。Unicorn プロキシ スレッドが存在している場合、そのデバイスは脆弱であると考えられます。

firepower# show processes | include Unicorn

Mwe 0x0000557f9f5bafc0 0x00007f62de5a90a8 0x0000557fa52b50a0       3632 0x00007f62c8c87030 30704/32768 Unicorn Proxy Thread 218

注：

• 上記例での Unicorn プロキシ スレッド識別子は 218 であり、これは変わる可能性があります。実際のスレッド ID 番号に関係なく、Unicorn プロキシ スレッドのプロセスが実行中の場合、デバイスは脆弱であるとみなされます。
• IKEv2 の特定の機能セットでは、ベースの SSL TCP リスニング ソケットが有効になっていなくても脆弱性が存在する可能性があります。管理者は show running-config crypto ikev2 CLI コマンドを使用して、下記例のように crypto ikev2 enable コンフィギュレーション コマンドが設定に存在しているかどうかを確認できます。

  firepower# show running-config crypto ikev2 | include enable

  crypto ikev2 enable Outside

  実行コンフィギュレーションに crypto ikev2 enable コマンドが設定されており、anyconnect enable コマンドがグローバル webvpn コンフィギュレーションに含まれている場合、その Cisco FTD デバイスにも脆弱性が存在すると考えられます。

実行している Cisco FTD ソフトウェア リリースの確認

管理者は CLI から show version コマンドを使用することにより、Cisco FTD リリースを確認できます。デバイスでリリース 6.2.2 が実行されている場合、次の例のようになります。

> show version

---------------------[ ftd ]---------------------
Model : Cisco ASA5525-X Threat Defense (75) Version 6.2.2 (Build 362)
UUID : 2849ba3c-ecb8-11e6-98ca-b9fc2975893c
Rules update version : 2017-03-15-001-vrt
VDB version : 279
----------------------------------------------------

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この脆弱性の影響を受けることが分かっています。

シスコは、Cisco AnyConnect セキュア モビリティ クライアントには脆弱性が存在しないことを確認済みです。