Cisco Security Advisory: Cisco Telnet Denial of Service Vulnerability

2004 年 10 月 31 日 - ライター翻訳版
その他のバージョン: PDFpdf | 英語版 (2004 年 10 月 31 日) | フィードバック

Revision 2.3

Last Updated 2004 October 31 2200 UTC
For Public Release 2004 August 27 1000 UTC
UTC

目次

要約
該当製品
詳細
影響
ソフトウェアバージョンおよび修正
修正ソフトウェアの入手
回避策
不正利用事例と公表
この通知のステータス:Interim
情報配信
更新履歴
シスコ セキュリティ手順

要約

Internetwork Operating System (IOS)(R) が稼動する シスコ機器の Telnet 又は Reverse Telnet ポートに対して、巧妙に作られた TCP 接続を行うと、それ以降の Telnet、Reverse Telnet、Remote Shell (RSH)、Secure Shell (SSH)、および場合に よっては Hypertext Transport Protocol (HTTP) によるシスコ機器のアクセスができなくなります。 Data Link Switching (DLSw) および protocol translation コネクションもまた影響を受ける 可能性があります。

それ以前に確立している Telnet、Reverse Telnet、RSH、SSH、DLSw および Protocol Translation セッションには影響はありません。

その他の全てのサービスは正常に動作します。パケット転送 (上記の DLSw と Protocol Translation を除く) 、 ルーティングプロトコル、その他の機器を通過するすべての通信、或いは機器への通信に関して は影響を受けません。

シスコは本脆弱性を解決するための無償のソフトウェアを作成しました。以下に示す回避策は、 本脆弱性に対する防御を行うために有効です。

本脆弱性はバグ ID CSCef46191 としてドキュメントしております。(登録ユーザのみ)

本アドバイザリは以下にて確認可能です。
http://www.cisco.com/warp/public/707/cisco-sa-20040827-telnet.shtml
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟 齬がある場合には、英語原文が優先いたします。


該当製品


脆弱性が存在する製品

本脆弱性は、未修正の IOS バージョンが稼動しており Telnet もしくは Reverse Telnet に よるアクセスを許可しているすべてのシスコ機器に影響があります。 ソフトウェアバージョンおよび修正の項にリストされた修正リリース以外には脆弱性が存在します。

脆弱性が存在しない製品

IOS が稼動しないシスコ機器は影響がありません。

詳細

Telnet、RSH および SSH はシスコ IOS 製品の遠隔管理に使われます。SSH プロトコルは シスコ機器とのファイル転送の暗号化を可能にする Secure Copy(SCP) にも使われます。

Data-link switching (DLSw) は IBM Systems Network Architecture (SNA) および IP ネットワーク上の Network Basic Input/Output System (NetBIOS) トラフィックを 転送する手段を提供します。

DLSw が提供される以前に広く設置されていた Token Ring 環境 において、SNA および NetBIOS トラフィックを転送するために使われた source-route bridging (SRB) の代替として DLSw は機能します。

DLSw に関するさらなる情報は、以下のドキュメントをご参照ください。
http://www.cisco.com/univercd/cc/td/doc/cisintwk/ito_doc/dlsw.htm
Protocol Translation はあるプロトコル(たとえば TCP/IP 上の Telnet)と 別のプロトコル(たとえば LAT)が稼動するホストを接続する機能です。 この機能を Protocol Translation と呼び、これによって機器によって異なる プロトコル(たとえば X.25 と TCP/IP)を稼動させて通信することができます。

Protocol Translation に関するさらなる情報は、以下のドキュメントをご参照ください。
http://www.cisco.com/en/US/products/sw/iosswrel/ps1818/products_connection_guide_chapter09186a00800805bd.html
IPv4 および IPv6 で稼動するサービスは同様に影響を受けます。

HTTP も特定のシスコ機器の管理に使われます。12.2(15)T より前の IOS には HTTP サーバ バージョン 1.0 が同梱されており、HTTP の設定がされている場合、 脆弱性が悪用されている機器上では HTTP サーバ の応答がなくなります。 12.2(15)T 以降の IOS バージョンには HTTP サーバ バージョン 1.1 が 同梱されており、影響を受けません。

IOS イメージに同梱されている IOS HTTP サーバのバージョンを特定するためには show subsys name http コマンドを使用します。
Router# show subsys name http



                    Class         Version

http                Protocol    1.001.001
以上の出力は HTTP サーバ バージョン 1.1 が同梱されていることを示します。
Router# show subsys name http



                    Class         Version

http                Protocol    1.000.001 
以上の出力は HTTP サーバ バージョン 1.0 が同梱されていることを示します。

Reverse Telnet は、シスコ機器の非同期シリアルコネクションを経由して他の機器に 接続するための機能です。Reverse Telnet に関するさらなる情報は、以下のドキュメント をご参照ください。
http://www.cisco.com/en/US/products/sw/iosswrel/ps1828/products_configuration_guide_chapter09186a00800871ec.html

http://www.cisco.com/en/US/products/sw/iosswrel/ps1826/products_configuration_guide_chapter09186a00800d9bd8.html
Reverse Telnet サーバ として稼動しているシスコ機器は以下の範囲の ポートが開いていることがあります。
  • 2001 to 2999
  • 3001 to 3099
  • 6001 to 6999
  • 7001 to 7099
IOS 機器の TCP ポート 23 もしくは前述の Reverse Telnet ポートに対して 脆弱性を悪用し(攻撃により)巧妙に TCP で接続した後では、それ以降のすべての Telnet、 Reverse Telnet、RSH(TCP ポート 514)、SSH、SCP(SSH と SCP は TCP ポート 22 を使用します)、 DLSw (TCP ポート 2065 から 2067)、および場合によっては HTTP(TCP ポート 80)を用いての接続が成功しなくなります。

すでに機器との間で確立した Telnet、Reverse Telnet、RSH、SSH、SCP、HTTP、DLSw、Protocol Translation および HTTP のセッションはいずれも引き続き正常に機能します。

IOS では、Telnet、Reverse Telnet、RSH、SSH、SCP、DLSw、Protocol Translation および HTTP は バーチャル・ターミナル(VTY)によってハンドルされます。それぞれの Telnet、Reverse Telnet、 RSH、SSH、SCP、DLSw および Protocol Translation セッションは1つの VTY を消費します。 脆弱性の悪用に成功した後、そのシスコ機器はそれ以降新たには VTY 接続を受け付けられなくなります。

脆弱性を悪用された後は、機器への Telnet、Reverse Telnet、RSH、SSH、SCP、DLSw、Protocol Translation もしくは HTTP の新たなコネクションは確立できませんが、IOS 機器は TCP ポート 23 と前述の Reverse Telnet のポートに対してのみ脆弱です。

脆弱性を悪用するには、TCP の 3-way handshake(スリー・ウェイ・ハンドシェイク)が必要で あり、そのため送信元 IP アドレスを詐称することは非常に困難です。

VTY を使用する遠隔アクセスサービスのみが影響を受けます。これには Telnet、 Reverse Telnet、RSH、SSH、SCP、DLSw、Protocol Translation と HTTP サーバ バージョン 1.0 が含まれます。 それ以外の機器によるサービスである、ルーティングプロトコル、TACACS/RADIUS、 Voice over IP (VoIP)やパケット転送は影響がありません。

本脆弱性は

によって解決される予定です。

影響

本脆弱性を悪用されることによって、IOS で稼動している機器への新たな Telnet、Reverse Telnet、RSH、SSH、SCP、DLSw および HTTP 接続が妨害される結果となります。 コンソール又は SNMP 経由など、その他方法による機器へのアクセスについては影響を受けません。 問題の TCP コネクションがクリアされるか、(問題のセッションが必然的にクリアされる) 機器の再起動が行われるまでは、この状態から回復することはありません。 もしも他のアクセス方法が利用可能でない場合、本脆弱性の悪用により機器への遠隔 アクセスが妨害される可能性があります。

ネットワーク構成によっては、本脆弱性による影響を緩和するための回避策が利用可能です。 この脆弱性を解決するための修正ソフトウェアについては、次を参照してください。

ソフトウェアバージョンおよび修正


シスコでは、現在メンテナンス対象になっているすべての IOS リリースで、この脆弱性に対する修正を提供しています。本脆弱性を緩和するために、ソフトウェアアップ グレード以外の方法もあります。後述の設定変更による回避策の情報もご参照ください。 このソフトウェアの修正は、IOS ソフトウェアの正規スケジュールされたメンテナンス リリースに組み込まれます。

利用可能な修正ソフトウェアが追加されると、シスコは本アドバイザリのこのセクションを更新します。

シスコ機器において稼動しているソフトウェアを確認するには、機器にログインし、 "show version" コマンドによりシステムバナーを表示させてください。Cisco IOS ソフ トウェアの場合 "Internetwork Operating System Software" もしくは "IOS" と表示さ れます。次の出力ラインでは、括弧の間にイメージの名前、"Version" および IOS のリ リース名が続きます。他のシスコ機器の場合 "show version" コマンドが存在しないか、 違う出力結果が表示されます。

以下の例はイメージ名 C2500-IS-L がインストールされ、IOS リリース 12.0(3) が稼動 しているシスコ機器を表しています。

Cisco Internetwork Operating System Software IOS (TM)

    

2500 Software (C2500-IS-L), Version 12.0(3), RELEASE SOFTWARE

リリーストレインラベルは "12.0" です。
次の例はイメージ名が C2600-JS-MZ で 12.0(2a)T1 の IOS リリースが稼動している機器です。
Cisco Internetwork Operating System Software IOS (tm)



C2600 Software (C2600-JS-MZ), Version 12.0(2a)T1, RELEASE SOFTWARE (fc1)

Cisco IOS のバナーに関する情報は以下の URL を参照してください。
http://www.cisco.com/en/US/products/sw/iosswrel/ios_abcs_ios_networking_the_enterprise0900aecd800a4e15.html
下記の表中の各行は、対象となる Cisco IOS ソフトウェアのリリーストレインおよびプラットフォームまたは製品です。 リリーストレインが脆弱である場合の、最も早く利用可能な修正済みリリース(「最初の修正リリース」)およびそのリリース予定時期が、それぞれ「リビルド」、「メンテナンス」列に記載されています。 それぞれのトレインで、該当のカラムに示されたリリース(最初の修正リリース)よりも前のリリースを使用しているデバイスは、脆弱性があるとみなすことができます。 その場合は、表示されているリリースまたはそれ以降のバージョン(最初の修正リリースまたはそれ以降のもの)へのアップグレードが必要です。 リリースを選択する際には、次の定義に留意してください。

メンテナンス : 表中のいずれのリリーストレインにおいても、最も厳密にテストされて安定しており、高く推奨されるリリース。

リビルド: 同じトレイン内の 1 つ前のメンテナンス リリースまたはメジャー リリースから構築されたリリースで、特定の障害に対する修正が含まれています。 テストは比較的少なくなっていますが、脆弱性を修正するために必要な最小限の変更だけが含まれています。

いずれの場合でも、アップグレードするデバイスに十分なメモリが実装されており、現在のハードウェアおよびソフトウェアの構成が新しいソフトウェア リリースでも引き続きサポートされていることを確認する点に注意する必要があります。 情報に不明な点がある場合は、下記の「修正ソフトウェアの入手」 のセクションに示されているように、Cisco TAC にサポートを依頼してください。

ソフトウェアのリリース名および略称の詳細は、http://www.cisco.com/warp/public/620/1.html を参照してください。

修正は、http://www.cisco.com/tacpage/sw-center/ の Software Center から入手できます。

ソフトウェアのインストールおよびアップグレードの手順については、http://www.cisco.com/warp/public/130/upgrade_index.shtml を参照してください。

公開されている Cisco IOS の全修正ソフトウェア イメージの最新状況については、Cisco.com 登録ユーザ向けの次の一覧を参照してください。
http://www.cisco.com/tacpage/sw-center/sw-ios.shtml

主要リリース

主要リリース 修正ソフトウェアの
利用可能日 *

該当の 12.0 ベースのリリース

リビルド

メンテナンス

12.0

12.0(5)WC11 利用可能日 2004 年 12 月 20 日

 

12.0S

12.0(26)S5 利用可能日 2004 年 11 月 8 日

 

12.0(27)S4 利用可能日 2004 年 12 月 31 日

 

12.0(28)S2 利用可能日 2004 年 11 月 30 日

 
 

12.0(30)S 利用可能日 2004 年 11 月 29 日

該当の 12.1 ベースのリリース

リビルド

メンテナンス

12.1

 

12.1(26) 利用可能日 2004 年 11 月 30 日

12.1E

12.1(20)E5

 

12.1(22)E3

 

12.1(23)E1

 
 

12.1(24)E 利用可能日 2004 年 12 月 20 日

12.1EA

12.1(22)EA2 利用可能日 2004 年 11 月 15 日

 

該当の 12.2 ベースのリリース

リビルド

メンテナンス

12.2

 

12.2(27) 利用可能日 2004 年 11 月 9 日

12.2BC

12.2(15)BC1f

 

12.2(15)BC2e 利用可能日 2004 年 11 月 1 日

 

12.2EW

12.2(18)EW2 利用可能日 2004 年 11 月 4 日

 

12.2JK

12.2(15)JK2

 

12.2S

12.2(14)S12 利用可能日 2004 年 11 月 22 日

 

12.2(18)S6

 

12.2(20)S6 利用可能日 2004 年 11 月 15 日

 

12.2(25)S1

 

12.2SE

12.2(20)SE3

 
 

12.2(25)SE

12.2SU

12.2(14)SU2

 

12.2SV

 

12.2(24)SV

12.2SXB

12.2(17d)SXB5 利用可能日 2004 年 11 月 5 日

 

12.2SXD

12.2(18)SXD1

 

12.2T

12.2(13)T14

 

12.2XR

12.2(15)XR2

 

該当の 12.3 ベースのリリース

リビルド

メンテナンス

12.3

12.3(6d)

 

12.3(9c) 利用可能日 2004 年 12 月 2 日

 

12.3(10a) 利用可能日 2004 年 11 月 9 日

 

12.3(12) 利用可能日 2004 年 11 月 29 日

 

12.3BC

12.3(5a)B2

 
 

12.3(9a)BC

12.3JA

 

12.3(2)JA

12.3T

12.3(2)T8

 

12.3(4)T8

 

12.3(7)T4

 

12.3(8)T4

 
 

12.3(11)T

12.3XD

12.3(4)XD4 リリース日未定

 

12.3XG

12.3(4)XG2

 

12.3XI

12.3(7)XI2 利用可能日 2004 年 11 月 5 日

 

12.3XK

12.3(4)XK1

 

12.3XR

12.3(7)XR3

 

12.3XU

12.3(8)XU2

 

12.3YD

 

12.3(8)YD

* 日付はすべて予定であり、変更される可能性があります。

修正ソフトウェアの入手

契約を有するお客様は、修正ソフトウェアが利用可能になり次第、通常の経路でそれを 入手してください。ほとんどのお客様は、シスコのワールドワイドウェブサイト上の ソフトウェアセンターから入手することができます。
http://www.cisco.com/tacpage/sw-center/
シスコパートナー、正規販売代理店等と、過去または現在の契約を通じてシスコ機器を購入、保守管理しているお客様は、その正規販売代理店を経由して無償ソフトウェアアップグレードを入手してください。

シスコから直接購入するもシスコサービス契約を結んでいないお客様、およびサードパー ティーベンダーから購入し、そのベンダーから修正済ソフトウェアを入手できないお客様 は、次に示す連絡先を通じてシスコ Technical Assistance Center (TAC) に連絡し、修 正済ソフトウェアを入手してください。TAC への連絡先は以下の通りです。
  • +1 800 553 2447 (北米内からフリーダイヤル)
  • +1 408 526 7209 (北米以外からの有料通話)
  • e-mail: tac@cisco.com
  • 無償アップグレード資格がある証拠として、製品のシリアル番号と、この通知の URL を 提示してください。契約がないお客様の無償アップグレードは TAC を通して要求してく ださい。

    ソフトウェアのアップグレードに関し、"psirt@cisco.com" もしくは "security-alert@cisco.com" にお問い合わせいただくことはご遠慮ください。

    様々な言語に対応する各地域専用の電話番号やダイヤル手順、電子メールアドレスなど、 その他の TAC 問い合わせ情報につきましては、こちらをご参照ください。
    http://www.cisco.com/cisco/web/support/JP/cisco_worldwide_contacts.html
    お客様におかれましては、ご購入いただきましたフィーチャーセットに関してのみ インストールいただくことができ、サポートさせていただきます。インストール、 ダウンロード、アクセス、その他ソフトウェアアップグレードされた場合は、 以下の Cisco Software License Term に従うことに同意したものとします。
    http://www.cisco.com/public/sw-license-agreement.html
    http://www.cisco.com/public/sw-center/sw-usingswc.shtml

    回避策

    いかなる回避策の有効性も、製品の構成、ネットワークトポロジー、トラフィック特性、 および組織の役割といったお客様固有の状況に依存します。

    回避策を適用する前に、その回避策が当該ネットワークの使用形態にとって適切である ことを確認するために、サービスプロバイダやサポート組織に相談されることをお勧めいたします。

    緩和策

    ここで挙げる緩和策は全てのお客様において有効なものではありません。 また、幾つかの回避策は、お客様のネットワークで使用されている IOS のバージョンと フィーチャーセットに依存します。

    SSH の有効化と Telnet の無効化

    注: SSH は特定の IOS フィーチャーセットとプラットフォームでのみ有効な機能です。

    SSH をサポートするシスコ機器では、次の URL の手順に従うことで SSH を定義できます。
    http://www.cisco.com/en/US/products/sw/iosswrel/ps1835/products_configuration_guide_chapter09186a00800ca7d5.html#1001167
    Telnet アクセスを無効化し、SSH アクセスを有効にするには VTY ラインを次のように定義します:
    Router(config)# line vty 0 4
    
    Router(config-line)# transport input ssh 
    注: SSH が有効化されても、Telnet が無効化されるまでは機器は保護されません。

    VTY アクセス クラスの定義

    注)Cisco Catalyst スイッチプラットフォームで Route Switch Module (RSM)、 Route Switch Feature Card (RSFC)、Multilayer Switch Module (MSM) もしくは Multilayer Switch Feature Card (MSFC) を搭載する機器はスイッチの Supervisor モジュールから session コマンドでこれらのモジュールに接続できます。session コマンドは RSM/RSFC/MSM/MSFC への接続に内部的に telnet を使用しますが、 VTY アクセス クラスの制限は受けません。

    VTY アクセス クラスを、既知の信頼出来るデバイスだけが Telnet、Reverse Telnet または SSH により接続できるように適用することで、 シスコ機器へのアクセスを制限することが出来ます。

    VTY に対するトラフィックの制限に関する情報は、以下をご参照下さい:
    http://www.cisco.com/en/US/products/sw/iosswrel/ps1835/products_command_reference_chapter09186a00800873c8.html#wp1017389
    以下の設定例は 192.168.1.0/24 のネットワークブロックと 172.16.1.2 からの VTY へのアクセスを許可し、 それ以外からのアクセスを拒否します。
    Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255
    
    Router(config)# access-list 1 permit host 172.16.1.2
    
    Router(config)# line vty 0 4
    
    Router(config-line)# access-class 1 in
    Terminal Server として稼動している機器の Reverse Telnet ポートに Access Class を設定するには access-list を AUX ポートと Terminal Line に対しても設定しなくてはなりません。
    Router(config)# line 1 <x>
    
    Router(config-line)# access-class 1 in
    シスコ機器の種類によって Terminal Line の番号が異なります。機器の適切な Terminal Line の番号を 特定するために、対象機器の設定をご確認ください。

    Interface Access Lists (ACLs) の定義

    VTY アクセス クラスの定義に加えて、ネットワーク・エッジにおいて全ての Telnet トラフィックをブロックすることが望ましい場合もあります。

    以下に示す例では、TCP ポート 23 と Reverse Telnet トラフィックをブロックし、 他の全ての IP トラフィックを許可する場合の定義を示します。
    Router(config)# access-list 100 deny tcp any any eq telnet
    Router(config)# access-list 100 deny tcp any any range 2001 2999
    Router(config)# access-list 100 deny tcp any any range 3001 3099
    Router(config)# access-list 100 deny tcp any any range 6001 6999
    Router(config)# access-list 100 deny tcp any any range 7001 7099
    Router(config)# access-list 100 permit ip any any
    このアクセスリストをパブリックネットワークに接続されたすべてのインターフェースに適用し、インバウンド Telnet/Reverse Telnet トラフィックを遮断します。
    Router(config)# interface Ethernet 0/0
    Router(config-if)# ip access-group 100 in
    Telnet は、信頼出来るネットワークへの全てのアクセスを制御する Transit ACL の一部として、ブロックされるべきです。 Transit ACL は、特定の脆弱性に対する回避策であると同時に、 長期に渡る最善のネットワークセキュリティーと考えることが出来ます。 ホワイトペーパーの "Transit Access Control Lists: Filtering at Your Edge" は、 Transit ACL の実装の際のガイドラインと推奨される導入方法が記載されています。
    http://www.cisco.com/warp/public/707/tacl.html

    Infrastructure ACLs (iACL) の定義

    ネットワークを通過するトラフィックを遮断することはしばしば困難ですが、 自身の基幹機器をターゲットとした許可すべきではないトラフィックを特定し、 そのようなトラフィックはネットワークの境界で遮断することは可能です。

    Infrastructure ACLは、特定の脆弱性に対する回避策であると同時に、 長期に渡る最善のネットワークセキュリティーと考えることが出来ます。 ホワイトペーパーの "Protecting Your Core: Infrastructure Protection Access Control Lists" は、 アクセスリストによって基幹機器を守るためのガイドラインと、 推奨される導入方法が記載されています。
    http://www.cisco.com/warp/public/707/iacl.html

    Receive ACLs (rACL) の定義

    分散型のプラットフォームには、12000 シリーズ GSR では 12.0(21)S2 、 7500 シリーズでは 12.0(24)S の IOS ソフトウェアからサポートされている Receive Path アクセスリストが選択肢となります。

    このアクセスリストは悪影響を及ぼすトラフィックがルートプロセッサに 影響する前に、そのトラフィックから機器を防御することができます。 Receive Path アクセスリストは、特定の脆弱性に対する回避策であると同時に、 長期に渡る最善のネットワークセキュリティーと考えることが出来ます。

    CPU 負荷はラインカードのプロセッサへ分散され、 メインのルートプロセッサの負荷を軽減することが出来ます。 ホワイトペーパーの "GSR: Receive Access Control Lists"は、 機器宛の正当なパケットとそれ以外の遮断されるべきパケットを 判断する手法が記載されています。
    http://www.cisco.com/warp/public/707/racl.html

    ハングしている TCP 接続の IOS CLI によるクリア方法

    who コマンドは機器への VTY 接続を表示します:
    Router# who
    
        Line       User       Host(s)              Idle       Location
    
       0 con 0                192.168.10.72        00:00:00
    
    *  2 vty 0                idle                 00:00:00 192.168.10.72
    
       3 vty 1                idle                 00:00:04 192.168.10.10
    以上は 2つの VTY 接続があることを示し、ひとつは 192.168.10.72、 もうひとつは 192.168.10.10からの接続です。 * は現行のセッションを表します。 この例では、who コマンドを実行したユーザは 192.168.10.72 から 接続しています。

    VTY 1 上の 192.168.10.10 からの接続を切断するには以下のコマンドを実行します:
    Router# clear tcp line vty 1
    
    [confirm]
    
     [OK]

    注)機器に接続するために Telnet を使用している場合、TCP 接続をクリアする ことで、偶然にもご自身で使用されている Telnet セッションを切断してしまう 場合があります。もし IOS 機器の脆弱性を利用されている場合、Telnet により 再接続することはできません。復旧するためには Console アクセスもしくは機器 の再起動が必要になります。

    ハングしている TCP 接続の SNMP によるクリア方法

    SNMP による、ハングしている TCP 接続の検知とクリアも可能です。ハング中の接続を検知するためには、デバイス上に SNMP の読み取り専用のコミュニティ ストリングが設定されている必要があります。接続をリセットするためには、デバイス上に SNMP read-write が可能なコミュニティ ストリングが設定されている必要があります。

    ハングしている TCP 接続を SNMP を使って検知およびクリアする方法の詳細は、次の文書を参照してください。

    http://www.cisco.com/warp/public/477/SNMP/fixTCPhang.html

    不正利用事例と公表

    シスコ PSIRT では、本アドバイザリに記載されている脆弱性を利用した不正使用事例を 確認しており、お客様での対策の適用をお勧めいたします。


    この通知のステータス:Interim

    本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証を示唆するものでもありません。

    本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。

    またシスコシステムズは本ドキュメントの変更や更新を実施する権利を有します。

    シスコでは、この通知の最初の公開から 48-72 時間以内に更新を行えるものと予測しています。



    情報配信

    本アドバイザリは、以下のシスコのワールドワイドウェブサイト上に掲載されます。
    http://www.cisco.com/warp/public/707/cisco-sa-20040827-telnet.shtml
    ワールドワイドのウェブ以外にも、次の電子メールおよび Usenet ニュースの受信者 向けに、この通知のテキスト版がシスコ PSIRT PGP キーによるクリア署名つきで投稿 されています。
  • cust-security-announce@cisco.com
  • first-teams@first.org (includes CERT/CC)
  • bugtraq@securityfocus.com
  • vulnwatch@vulnwatch.org
  • cisco@spot.colorado.edu
  • cisco-nsp@puck.nether.net
  • full-disclosure@lists.netsys.com
  • comp.dcom.sys.cisco@newsgate.cisco.com
  • この通知に関する今後の最新情報は、いかなるものもシスコのワールドワイドウェブに掲載される予定です。 しかしながら、前述のメーリングリストもしくはニュースグループに対し積極的に配信されるとは限りません。この問題に関心があるお客様は上記 URL にて最新情報をご確認いただくことをお勧めいたします。


    更新履歴

    Revision 2.3
    2004-October-31
    「ソフトウェアバージョンおよび修正」のセクションの最初の修正リリースの表を更新。
    Revision 2.2
    2004-October-16
    修正イメージのアベイラビリティに関する情報を「ソフトウェアバージョンおよび修正」のセクションに追加。
    Revision 2.1
    2004-September-09
    「回避策」のセクションの「TCP 接続の IOS CLI によるクリア方法」の説明のタイトルを「停止している TCP 接続の IOS CLI によるクリア方法」に変更。
    「停止している TCP 接続の SNMP によるクリア方法」の説明を「回避策」のセクションに追加
    Revision 2.0
    2004-September-2
    潜在的に影響があるプロトコルとして DLSw とProtocol Translation を追加。
    影響を受ける IOS トレインを明示的に表記。
    Catalyst スイッチに関する注を「回避策」の項に追加。
    IOS コマンドによる問題となる telnet TCP 接続のクリア方法を追加。

    Revision 1.3

    2004-August-31

    潜在的に影響を受けたプロトコルとして DLSw を追加。
    影響を受ける IOS トレインを明示的に表記。
    Catalyst スイッチに関する注を「回避策」の項に追加。

    Revision 1.2

    2004-August-27

    [脆弱性が存在する製品] の項の更新
    [回避策] の項の VTY アクセス クラスの内容を更新

    Revision 1.1

    2004-August-27

    [詳細] の項へ2番目のパラグラフを追加
    [回避策] の項の VTY アクセス クラスの定義と Access Lists (ACLs) の定義の変更

    Revision 1.0

    2004-August-27

    初版


    シスコ セキュリティ手順

    シスコ機器におけるセキュリティの脆弱性の報告、セキュリティ事故に関する支援、 およびシスコからセキュリティ情報を入手するための登録方法について詳しく知るには、 シスコワールドワイドウェブサイトの
    http://www.cisco.com/en/US/products/products_security_vulnerability_policy.html
    にアクセスしてください。 このページにはシスコのセキュリティ通知に関して メディアが問い合わせる際の指示が掲載されています。

    全てのシスコセキュリティアドバイザリは http://www.cisco.com/go/psirt/で確認することができます。