Cisco IOS Software Session Initiation Protocol Denial of Service Vulnerability

2012 年 10 月 4 日 - ライター翻訳版
その他のバージョン: PDFpdf | 英語版 (2012 年 10 月 3 日) | フィードバック

Advisory ID: cisco-sa-20120926-sip

http://www.cisco.com/cisco/web/support/JP/111/1116/1116604_cisco-sa-20120926-sip-j.html

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

Revision 1.1

Last Updated  2012 October 3 17:48  UTC (GMT)

For Public Release 2012 September 26 16:00  UTC (GMT)


要約

Cisco IOS ソフトウェアおよび Cisco IOS XE ソフトウェアにおけるセッション開始プロトコル(SIP)の実装には、脆弱性が存在します。これにより、認証されていないリモートの攻撃者は該当デバイスを再起動できる可能性があります。該当デバイスが SIP メッセージとセッション記述プロトコル(SDP)のパススルーを処理するように設定されている場合に、この脆弱性の不正利用が可能となります。

シスコはこの脆弱性に対処する無償のソフトウェア アップデートをリリースしました。SIP を実行する必要のあるデバイスについては回避策がありません。ただし、脆弱性の発現を軽減することはできます。

このアドバイザリは、次のリンク先で確認できます。

http://www.cisco.com/cisco/web/support/JP/111/1116/1116604_cisco-sa-20120926-sip-j.html.

注:2012 年 9 月 26 日の Cisco IOS ソフトウェア セキュリティ アドバイザリ バンドル公開には 9 件の Cisco Security Advisory が含まれています。8 件のアドバイザリは Cisco IOS ソフトウェアの脆弱性に対処するもので、1 件は Cisco Unified Communications Manager の脆弱性に対処するものです。各 Cisco IOS ソフトウェア セキュリティ アドバイザリには、そのアドバイザリで詳述された脆弱性を解決する Cisco IOS ソフトウェア リリース、および 2012 年 9 月にバンドル公開したすべての Cisco IOS ソフトウェアの脆弱性を解決する Cisco IOS ソフトウェア リリースを記載しています。 

個々の公開リンクは、次のリンクにある「Cisco Event Response: Semi-Annual Cisco IOS Software Security Advisory Bundled Publication」内に掲載されています。

http://www.cisco.com/cisco/web/support/JP/111/1116/1116611_Cisco_ERP_sep12-j.html


Cisco Unified Communications Manager は、このアドバイザリに記載されている脆弱性の影響を受けます。Cisco Unified Communications Manager に影響するこの脆弱性に関しては、別途 Cisco Security Advisory が次の場所で公開されています。

http://www.cisco.com/cisco/web/support/JP/111/1116/1116607_cisco-sa-20120926-cucm-j.html

該当製品


脆弱性が存在する製品

該当する Cisco IOS ソフトウェアまたは Cisco IOS XE ソフトウェア バージョンが実行されているシスコ デバイスで、SIP メッセージを処理するよう設定されており、Session Description Protocol(SDP)Pass-Through が有効の場合、この脆弱性に該当します。

Cisco IOS ソフトウェアの最近のバージョンでは、デフォルトでは SIP メッセージが処理されません。dial-peer voice コンフィギュレーション コマンドによるダイヤル ピアの作成によって SIP プロセスが開始されることで、Cisco IOS デバイスは SIP メッセージの処理を行います。さらに、Cisco Unified Communications Manager Express の一部の機能(ePhone など)が設定されると自動的に SIP プロセスが開始され、デバイスによる SIP メッセージの処理が開始されます。次に、影響を受ける設定の一例を示します。

dial-peer voice <Voice dial-peer tag> voip
 ...
!

管理者は、SIP メッセージを処理する dial-peer コマンドが Cisco IOS デバイスの設定にないか調べることに加えて、show processes | include SIP コマンドを使用することにより、Cisco IOS ソフトウェアが SIP メッセージを処理するプロセスを実行しているかどうかを判断することができます。次の例では、CCSIP_UDP_SOCKET または CCSIP_TCP_SOCKET のプロセスが表示されているため、Cisco IOS デバイスが SIP メッセージを処理することがわかります。

Router# show processes | include SIP
 149 Mwe 40F48254            4          1    400023108/24000  0 CCSIP_UDP_SOCKET
 150 Mwe 40F48034            4          1    400023388/24000  0 CCSIP_TCP_SOCKET

注:Cisco IOS ソフトウェアを実行しているデバイスで、SIP メッセージの処理を開始する方法は複数存在します。そのため、デバイスが SIP メッセージを処理しているかどうかの判断には、特定のコマンドが設定されているかどうかではなく、show processes | include SIP コマンドを使用することをお勧めします。

デバイスは、SIP が有効で SDP Pass-Through がグローバル レベルまたはダイヤルピア レベルで有効な場合にのみ影響を受けます。グローバル レベルでは、SDP Pass-Through は次のとおり設定されています。

voice service voip
 sip
pass-thru content sdp
ダイヤルピア レベルでは、SDP Pass-Through は次のとおり設定されています。
dial-peer voice <peer ID> voip
voice-class sip pass-thru content sdp
Cisco Unified Border Element (エンタープライズ) イメージもこの脆弱性の影響を受けます。

注:Cisco Unified Border Element 機能(CUBE、旧名称 Cisco Multiservice IP-to-IP Gateway)は、シスコのマルチサービス ゲートウェイ プラットフォーム上で稼働する特別な Cisco IOS ソフトウェア イメージです。これにより、課金処理、セキュリティ、コール アドミッション制御、Quality of Service(QoS)、およびシグナリング インターワーキングのためのネットワーク間インターフェイス ポイントが提供されます。

シスコ製品で稼働している Cisco IOS ソフトウェア リリースを確認するには、デバイスにログインし show version コマンドを実行してシステム バナーを表示させます。「Internetwork Operating System Software」、「Cisco IOS Software」あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。その後ろにイメージ名が括弧の間に表示され、続いてバージョンと Cisco IOS ソフトウェア リリース名が表示されます。他のシスコ デバイスでは、show version コマンドがない場合や、表示が異なる場合があります。

次の例は、シスコ製品で Cisco IOS ソフトウェア リリース 15.0(1)M1 が稼働し、インストールされているイメージ名が C3900-UNIVERSALK9-M であることを示しています。

Router> show version 
Cisco IOS Software, C3900 Software (C3900-UNIVERSALK9-M), Version 15.0(1)M1, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2009 by Cisco Systems, Inc.
Compiled Wed 02-Dec-09 17:17 by prod_rel_team
!--- 出力は省略されています 

Cisco IOS ソフトウェアのリリース命名規則の追加情報は以下のリンクにある「White Paper: Cisco IOS and NX-OS Software Reference Guide」で確認できます。http://www.cisco.com/web/about/security/intelligence/ios-ref.html



Cisco IOS XE ソフトウェアは、この脆弱性の影響を受けます。

注:Cisco Unified Communications Manager は、このアドバイザリに記載されている脆弱性の影響を受けます。Cisco Unified Communications Manager に影響するこの脆弱性に関しては、別途 Cisco Security Advisory が次の場所で公開されています。

http://www.cisco.com/cisco/web/support/JP/111/1116/1116607_cisco-sa-20120926-cucm-j.html

脆弱性が存在しない製品

Cisco IOS Network Address Translation(NAT)および Cisco IOS ソフトウェアのファイアウォール機能によって使用される SIP アプリケーション レイヤ ゲートウェイ(ALG)は、この脆弱性の影響を受けません。

Cisco Unified Border Element (SP Edition) は、この脆弱性の影響を受けません。

Cisco IOS XR ソフトウェアは、この脆弱性の影響を受けません。

他のシスコ製品において、この脆弱性の影響を受けるものは現在確認されていません。

詳細

セッション開始プロトコル(SIP)は一般的なシグナリング プロトコルであり、インターネットなどの IP ネットワークで音声およびビデオ コールの管理に使用されます。SIP はコールのセットアップと終了に関するすべてを処理します。SIP で処理される最も一般的なセッション タイプは音声とビデオですが、SIP はコールのセットアップと終了を必要とするその他のアプリケーションにも柔軟に対応します。SIP コール シグナリングでは、転送プロトコルとして UDP(ポート番号 5060)、TCP(ポート番号 5060)、または Transport Layer Security(TLS)(TCPポート 5061)を使用します。

Cisco IOS ソフトウェアおよび Cisco IOS XE ソフトウェアにおける SIP の実装には、脆弱性が存在します。これにより、リモートの攻撃者は該当デバイスを再起動できる可能性があります。この脆弱性は、有効なセッション記述プロトコル(SDP)メッセージを含む巧妙に細工された SIP メッセージを該当デバイスが処理することで引き起こされます。この脆弱性は、デバイス宛てのトラフィックよってのみ引き起こされます。デバイスを通過する SIP トラフィックによって脆弱性が引き起こされることはありません。SDP Pass-Through は、グローバル レベルまたはダイヤルピア レベルのいずれかで有効な場合、この脆弱性の影響を受けます。

注:SIP が TCP トランスポートで実行されている場合、この脆弱性を悪用するには TCP 3 ウェイ ハンドシェイクが必要です。

この脆弱性は、Cisco Bug ID CSCtj33003登録ユーザのみ)および CSCtw84664登録ユーザのみ)として文書化され、Common Vulnerabilities and Exposures(CVE)ID として CVE-2012-3949 が割り当てられています。


注: この脆弱性には、Cisco Unified Communications Manager も該当します。対応する Cisco Bug ID は、CSCtw66721登録ユーザ専用)です。詳細情報は、別途、Cisco Unified Communications Manager 向けの Cisco Security Advisory を参照してください。

脆弱性スコア詳細

シスコはこのアドバイザリでの脆弱性に対して Common Vulnerability Scoring System(CVSS)に基づいたスコアを提供しています。このセキュリティ アドバイザリでの CVSS スコアは CVSS バージョン 2.0 に基づいています。

CVSS は、脆弱性の重要度を示唆するもので、緊急性および対応の優先度を決定する組織の手助けとなる標準ベースの評価法です。

シスコは基本評価スコア(Base Score)および現状評価スコア(Temporal Score)を提供しています。お客様はこれらを用いて環境評価スコア(Environmental Score)を算出し、自身のネットワークにおける脆弱性の影響度を導き出すことができます。

シスコは次のリンクで CVSS に関する追加情報を提供しています。

http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html

また、シスコは個々のネットワークにおける環境影響度を算出する CVSS 計算ツールを次のリンクで提供しています。

http://tools.cisco.com/security/center/cvssCalculator.x/


CSCtj33003 and CSCtw84664 ("CUBE: Crafted SDP message may cause crash or interoperability issue" and "Crafted SDP message may cause crash".)

Calculate the environmental score of CSCtj33003 and CSCtw84664

CVSS Base Score - 7.8

Access Vector

Access Complexity

Authentication

Confidentiality Impact

Integrity Impact

Availability Impact

Network

Low

None

None

None

Complete

CVSS Temporal Score - 6.4

Exploitability

Remediation Level

Report Confidence

Functional

Official-Fix

Confirmed


影響

この脆弱性が悪用されると、該当するデバイスが再起動する可能性があります。繰り返し悪用されると、サービス拒否(DoS)状態が続く可能性があります。

ソフトウェア バージョンおよび修正

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt/ の Cisco Security Advisories and Responses アーカイブや、本アドバイザリ以降に公開のアドバイザリを参照して、起こりうる障害と完全なアップグレード ソリューションを判断してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報が不明確な場合は、Cisco Technical Assistance Center(TAC)もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

Cisco IOS ソフトウェア

Cisco IOS ソフトウェア テーブル(下記)の各行は Cisco IOS ソフトウェア トレインを示します。あるトレインが脆弱性を含む場合、修正を含む最初のリリースは「First Fixed Release」列に示されます。「First Fixed Release for All Advisories in the September 2012 Bundled Publication」列は、その Cisco IOS ソフトウェア セキュリティ アドバイザリ バンドル公開で公開済みであるすべての脆弱性を修正する最初のリリースを示します。シスコは利用可能な最新のリリースへのアップグレードを推奨します。

Cisco IOS ソフトウェア チェッカーを利用して、特定の Cisco IOS ソフトウェア リリースに対応したシスコのセキュリティ アドバイザリを検索することができます。このツールは次の Cisco Security Intelligence Operations(SIO)ポータルで利用できます。http://tools.cisco.com/security/center/selectIOSVersion.x

Major Release      Availability of Repaired Releases
Affected 12.0-Based Releases First Fixed Release First Fixed Release for All Advisories in the September 2012 Cisco IOS Software Security Advisory Bundled Publication
There are no affected 12.0 based releases
Affected 12.2-Based Releases First Fixed Release First Fixed Release for All Advisories in the September 2012 Cisco IOS Software Security Advisory Bundled Publication
12.2 Not vulnerable
Not vulnerable
12.2B Vulnerable; First fixed in Release 12.4
Releases up to and including 12.2(4)B8 are not vulnerable.
Vulnerable; First fixed in Release 12.4
Releases up to and including 12.2(4)B8 are not vulnerable.
12.2BC Not vulnerable
Not vulnerable
12.2BW Not vulnerable
Not vulnerable
12.2BX Vulnerable; migrate to any release in 12.2SB
Releases up to and including 12.2(15)BX are not vulnerable.
12.2(15)BX
Releases up to and including 12.2(2)BX1 are not vulnerable.
12.2BY Not vulnerable
Not vulnerable
12.2BZ Not vulnerable
Not vulnerable
12.2CX Not vulnerable
Not vulnerable
12.2CY Not vulnerable
Not vulnerable
12.2CZ Vulnerable; migrate to any release in 12.2S
Vulnerable; migrate to any release in 12.2S
12.2DA Not vulnerable
Not vulnerable
12.2DD Not vulnerable
Not vulnerable
12.2DX Not vulnerable
Not vulnerable
12.2EU Not vulnerable
Not vulnerable
12.2EW Not vulnerable
Not vulnerable
12.2EWA Not vulnerable
Not vulnerable
12.2EX Not vulnerable
Vulnerable; First fixed in Release 15.0SE
Releases up to and including 12.2(37)EX are not vulnerable.
12.2EY Not vulnerable
Vulnerable; First fixed in Release 15.1EY
Releases up to and including 12.2(46)EY are not vulnerable.
12.2EZ Not vulnerable
Not vulnerable
12.2FX Not vulnerable
Not vulnerable
12.2FY Not vulnerable
Not vulnerable
12.2FZ Not vulnerable
Not vulnerable
12.2IRA Not vulnerable
Vulnerable; First fixed in Release 12.2SRE
12.2IRB Not vulnerable
Vulnerable; First fixed in Release 12.2SRE
12.2IRC Not vulnerable
Vulnerable; First fixed in Release 12.2SRE
12.2IRD Not vulnerable
Vulnerable; First fixed in Release 12.2SRE
12.2IRE Not vulnerable
Vulnerable; First fixed in Release 12.2SRE
12.2IRF Not vulnerable
Vulnerable; First fixed in Release 12.2SRE
12.2IRG Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.2IRH Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.2IRI Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.2IXA Not vulnerable
Not vulnerable
12.2IXB Not vulnerable
Not vulnerable
12.2IXC Not vulnerable
Not vulnerable
12.2IXD Not vulnerable
Not vulnerable
12.2IXE Not vulnerable
Not vulnerable
12.2IXF Not vulnerable
Not vulnerable
12.2IXG Not vulnerable
Not vulnerable
12.2IXH Not vulnerable
Not vulnerable
12.2JA Not vulnerable
Not vulnerable
12.2JK Not vulnerable
Not vulnerable
12.2MB Not vulnerable
Not vulnerable
12.2MC Releases up to and including 12.2(15)MC1 are not vulnerable.
Releases 12.2(15)MC2b and later are not vulnerable.First fixed in Release 12.4
Releases up to and including 12.2(15)MC1 are not vulnerable.Releases 12.2(15)MC2b and later are not vulnerable.First fixed in Release 12.4
12.2MRA Not vulnerable
Vulnerable; First fixed in Release 12.2SRE
12.2MRB Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.2S Not vulnerable
Not vulnerable
12.2SB Not vulnerable
12.2(33)SB13
12.2SBC Not vulnerable
Vulnerable; First fixed in Release 12.2SB
12.2SCA Not vulnerable
Vulnerable; First fixed in Release 12.2SCF
12.2SCB Not vulnerable
Vulnerable; First fixed in Release 12.2SCF
12.2SCC Not vulnerable
Vulnerable; First fixed in Release 12.2SCF
12.2SCD Not vulnerable
Vulnerable; First fixed in Release 12.2SCF
12.2SCE Not vulnerable
Vulnerable; First fixed in Release 12.2SCF
12.2SCF Not vulnerable
12.2(33)SCF4
12.2SCG Not vulnerable
Not vulnerable
12.2SE Not vulnerable
12.2(46)SE1
12.2(55)SE6
12.2SEA Not vulnerable
Not vulnerable
12.2SEB Not vulnerable
Not vulnerable
12.2SEC Not vulnerable
Not vulnerable
12.2SED Not vulnerable
Not vulnerable
12.2SEE Not vulnerable
Not vulnerable
12.2SEF Not vulnerable
Not vulnerable
12.2SEG Not vulnerable
Not vulnerable
12.2SG Not vulnerable
12.2(53)SG8
Vulnerable; releases up to and including 12.2(46)SG1 are not vulnerable.
12.2SGA Not vulnerable
Not vulnerable
12.2SM Not vulnerable
Not vulnerable
12.2SO Not vulnerable
Not vulnerable
12.2SQ Not vulnerable
Releases up to and including 12.2(44)SQ2 are not vulnerable.
12.2SRA Not vulnerable
Not vulnerable
12.2SRB Not vulnerable
Not vulnerable
12.2SRC Not vulnerable
Vulnerable; First fixed in Release 12.2SRE
12.2SRD Not vulnerable
Vulnerable; First fixed in Release 12.2SRE
12.2SRE Not vulnerable
12.2(33)SRE7
12.2STE Not vulnerable
Not vulnerable
12.2SU Not vulnerable
Not vulnerable
12.2SV Not vulnerable
Not vulnerable
12.2SVA Not vulnerable
Not vulnerable
12.2SVC Not vulnerable
Not vulnerable
12.2SVD Not vulnerable
Not vulnerable
12.2SVE Not vulnerable
Not vulnerable
12.2SW Not vulnerable
Not vulnerable
12.2SX Not vulnerable
Not vulnerable
12.2SXA Not vulnerable
Not vulnerable
12.2SXB Not vulnerable
Not vulnerable
12.2SXD Not vulnerable
Not vulnerable
12.2SXE Not vulnerable
Not vulnerable
12.2SXF Not vulnerable
Not vulnerable
12.2SXH Not vulnerable

Vulnerable; releases up to and including 12.2(33)SXH7 are not vulnerable
12.2SXI Not vulnerable
12.2(33)SXI10
12.2SXJ Not vulnerable
12.2(33)SXJ4
12.2SY Not vulnerable
12.2(50)SY3
12.2SZ Not vulnerable
Not vulnerable
12.2T Vulnerable; First fixed in Release 12.4
Releases up to and including 12.2(8)T10 are not vulnerable.
Vulnerable; First fixed in Release 12.4
Releases up to and including 12.2(8)T10 are not vulnerable.
12.2TPC Not vulnerable
Not vulnerable
12.2WO Not vulnerable
Vulnerable; First fixed in Release 15.0SG
12.2XA Not vulnerable
Not vulnerable
12.2XB Not vulnerable
Not vulnerable
12.2XC Not vulnerable
Not vulnerable
12.2XD Not vulnerable
Not vulnerable
12.2XE Not vulnerable
Not vulnerable
12.2XF Not vulnerable
Not vulnerable
12.2XG Not vulnerable
Not vulnerable
12.2XH Not vulnerable
Not vulnerable
12.2XI Not vulnerable
Not vulnerable
12.2XJ Not vulnerable
Not vulnerable
12.2XK Not vulnerable
Not vulnerable
12.2XL Not vulnerable
Not vulnerable
12.2XM Not vulnerable
Not vulnerable
12.2XNA Please see Cisco IOS-XE Software Availability
Please see Cisco IOS-XE Software Availability
12.2XNB Please see Cisco IOS-XE Software Availability
Please see Cisco IOS-XE Software Availability
12.2XNC Please see Cisco IOS-XE Software Availability
Please see Cisco IOS-XE Software Availability
12.2XND Please see Cisco IOS-XE Software Availability
Please see Cisco IOS-XE Software Availability
12.2XNE Please see Cisco IOS-XE Software Availability
Please see Cisco IOS-XE Software Availability
12.2XNF Please see Cisco IOS-XE Software Availability
Please see Cisco IOS-XE Software Availability
12.2XO Not vulnerable
Vulnerable; First fixed in Release 12.2SG
Releases up to and including 12.2(40)XO are not vulnerable.
12.2XQ Not vulnerable
Not vulnerable
12.2XR Not vulnerable
Not vulnerable
12.2XS Not vulnerable
Not vulnerable
12.2XT Not vulnerable
Not vulnerable
12.2XU Not vulnerable
Not vulnerable
12.2XV Not vulnerable
Not vulnerable
12.2XW Not vulnerable
Not vulnerable
12.2YA Not vulnerable
Not vulnerable
12.2YC Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.2YD Not vulnerable
Not vulnerable
12.2YE Not vulnerable
Not vulnerable
12.2YK Not vulnerable
Not vulnerable
12.2YO Not vulnerable
Not vulnerable
12.2YP Not vulnerable
Not vulnerable
12.2YT Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.2YW Not vulnerable
Not vulnerable
12.2YX Not vulnerable
Not vulnerable
12.2YY Not vulnerable
Not vulnerable
12.2YZ Not vulnerable
Not vulnerable
12.2ZA Not vulnerable
Not vulnerable
12.2ZB Not vulnerable
Not vulnerable
12.2ZC Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.2ZD Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.2ZE Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.2ZH Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.2ZJ Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.2ZP Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.2ZU Not vulnerable
Not vulnerable
12.2ZX Not vulnerable
Vulnerable; First fixed in Release 12.2SB
12.2ZY Not vulnerable
Not vulnerable
12.2ZYA Not vulnerable
Not vulnerable
Affected 12.3-Based Releases First Fixed Release First Fixed Release for All Advisories in the September 2012 Cisco IOS Software Security Advisory Bundled Publication
12.3 Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3B Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3BC Not vulnerable
Not vulnerable
12.3BW Not vulnerable
Not vulnerable
12.3JA Not vulnerable

Not vulnerable
12.3JEA Not vulnerable
Not vulnerable
12.3JEB Not vulnerable
Not vulnerable
12.3JEC Not vulnerable
Not vulnerable
12.3JED Not vulnerable
Not vulnerable
12.3JEE Not vulnerable
Not vulnerable
12.3JK Releases up to and including 12.3(2)JK3 are not vulnerable.
Releases 12.3(8)JK1 and later are not vulnerable.First fixed in Release 12.4
Releases up to and including 12.3(2)JK3 are not vulnerable.Releases 12.3(8)JK1 and later are not vulnerable.First fixed in Release 12.4
12.3JL Not vulnerable
Not vulnerable
12.3JX Not vulnerable
Not vulnerable
12.3T Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3TPC Releases up to and including 12.3(4)TPC11a are not vulnerable.
Releases up to and including 12.3(4)TPC11a are not vulnerable.
12.3VA Not vulnerable
Not vulnerable
12.3XA Releases prior to 12.3(2)XA7 are vulnerable; Releases 12.3(2)XA7 and later are not vulnerable.First fixed in Release 12.4
Releases prior to 12.3(2)XA7 are vulnerable; Releases 12.3(2)XA7 and later are not vulnerable.First fixed in Release 12.4
12.3XB Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.3XC Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3XD Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3XE Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3XF Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.3XG Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3XI Vulnerable; migrate to any release in 12.2SB
12.3(7)XI1b
12.3XJ Vulnerable; migrate to any release in 12.4XN
Vulnerable; First fixed in Release 12.4T
12.3XK Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3XL Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.3XQ Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3XR Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3XU Vulnerable; First fixed in Release 12.4T
Releases up to and including 12.3(8)XU1 are not vulnerable.
Vulnerable; First fixed in Release 12.4T
Releases up to and including 12.3(8)XU1 are not vulnerable.
12.3XW Vulnerable; migrate to any release in 12.4XN
Vulnerable; First fixed in Release 12.4T
12.3XX Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3XY Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3XZ Vulnerable; First fixed in Release 12.4
Vulnerable; First fixed in Release 12.4
12.3YD Not vulnerable
Vulnerable; First fixed in Release 12.4T
12.3YF Vulnerable; migrate to any release in 12.4XN
Vulnerable; First fixed in Release 12.4T
12.3YG Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.3YI Not vulnerable
Vulnerable; First fixed in Release 12.4T
12.3YJ Not vulnerable
Vulnerable; First fixed in Release 12.4T
12.3YK Releases prior to 12.3(11)YK3 are vulnerable; Releases 12.3(11)YK3 and later are not vulnerable.First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.3YM Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.3YQ Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.3YS Vulnerable; First fixed in Release 12.4T
Releases up to and including 12.3(11)YS1 are not vulnerable.
Vulnerable; First fixed in Release 12.4T
12.3YT Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.3YU Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.3YX Vulnerable; migrate to any release in 12.4XN
Vulnerable; First fixed in Release 12.4T
12.3YZ Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.3ZA Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
Affected 12.4-Based Releases First Fixed Release First Fixed Release for All Advisories in the September 2012 Cisco IOS Software Security Advisory Bundled Publication
12.4 12.4(25g)
12.4(25g)
12.4GC Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.4JA Not vulnerable
Not vulnerable
12.4JAL Not vulnerable
Not vulnerable
12.4JAX Not vulnerable
Not vulnerable
12.4JAY Not vulnerable
Not vulnerable
12.4JDA Not vulnerable
Not vulnerable
12.4JDC Not vulnerable
Not vulnerable
12.4JDD Not vulnerable
Not vulnerable
12.4JDE Not vulnerable
Not vulnerable
12.4JHA Not vulnerable
Not vulnerable
12.4JHB Not vulnerable
Not vulnerable
12.4JHC Not vulnerable
Not vulnerable
12.4JK Not vulnerable
Not vulnerable
12.4JL Not vulnerable
Not vulnerable
12.4JX Not vulnerable
Not vulnerable
12.4JY Not vulnerable
Not vulnerable
12.4JZ Not vulnerable
Not vulnerable
12.4MD Not vulnerable
12.4(24)MD7
12.4MDA Not vulnerable

Releases up to and including 12.4(22)MDA6 are not vulnerable
12.4MDB Not vulnerable
12.4(24)MDB10
12.4MR Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.4MRA Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.4MRB Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4SW Not vulnerable
Not vulnerable
12.4T 12.4(15)T17
12.4(24)T7
12.4(24)T8
12.4XA Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4XB Releases prior to 12.4(2)XB12 are vulnerable; Releases 12.4(2)XB12 and later are not vulnerable.First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4XC Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4XD Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4XE Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4XF Not vulnerable
Vulnerable; First fixed in Release 12.4T
12.4XG Releases up to and including 12.4(9)XG1 are not vulnerable.
Releases 12.4(9)XG3 and later are not vulnerable.First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4XJ Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4XK Not vulnerable
Vulnerable; First fixed in Release 12.4T
12.4XL Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.4XM Releases up to and including 12.4(15)XM are not vulnerable.
Releases 12.4(15)XM3 and later are not vulnerable.First fixed in Release 12.4T
Releases up to and including 12.4(15)XM are not vulnerable.Releases 12.4(15)XM3 and later are not vulnerable.First fixed in Release 12.4T
12.4XN Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.4XP Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.4XQ Not vulnerable
Vulnerable; First fixed in Release 12.4T
12.4XR Not vulnerable
Vulnerable; First fixed in Release 12.4T
12.4XT Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4XV Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.4XW Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4XY Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4XZ Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4YA Vulnerable; First fixed in Release 12.4T
Vulnerable; First fixed in Release 12.4T
12.4YB Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.4YD Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
12.4YE Not vulnerable
Vulnerable; First fixed in Release 12.4T
12.4YG Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Affected 15.0-Based Releases First Fixed Release First Fixed Release for All Advisories in the September 2012 Cisco IOS Software Security Advisory Bundled Publication
15.0EX Not vulnerable
Not vulnerable
15.0EY Not vulnerable
Not vulnerable
15.0M 15.0(1)M9
15.0(1)M9
15.0MR Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
15.0MRA Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
15.0S Not vulnerable

Cisco IOS XE devices: Please see Cisco IOS XE Software Availability
15.0(1)S6

Cisco IOS XE devices: Please see Cisco IOS XE Software Availability
15.0SE Not vulnerable

15.0(2)SE
15.0SG Not vulnerable

Cisco IOS XE devices: Please see Cisco IOS XE Software Availability
15.0(2)SG5
15.0(2)SG6; Available on 11-OCT-12

Cisco IOS XE devices: Please see Cisco IOS XE Software Availability
15.0SY Not vulnerable
15.0(1)SY2
15.0XA Vulnerable; First fixed in Release 15.1M
Vulnerable; First fixed in Release 15.1M
15.0XO Cisco IOS XE devices: Please see Cisco IOS-XE Software Availability

Cisco IOS XE devices: Please see Cisco IOS-XE Software Availability
Affected 15.1-Based Releases First Fixed Release First Fixed Release for All Advisories in the September 2012 Cisco IOS Software Security Advisory Bundled Publication
15.1EY Not vulnerable
15.1(2)EY4
15.1GC Vulnerable; First fixed in Release 15.1M
Vulnerable; First fixed in Release 15.1M
15.1M 15.1(4)M5
15.1(4)M5
15.1MR Not vulnerable
15.1(3)MR; Available on 01-OCT-12
15.1S Not vulnerable

Cisco IOS XE devices: Please see Cisco IOS XE Software Availability

15.1(3)S
Cisco IOS XE devices: Please see Cisco IOS XE Software Availability
15.1SG Not vulnerable

Cisco IOS XE devices: Please see Cisco IOS XE Software Availability
15.1(1)SG1

15.1(2)SG 12-NOV-12
Cisco IOS XE devices: Please see Cisco IOS XE Software Availability
15.1SNG Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
15.1SNH Not vulnerable
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
15.1SNI Not vulnerable
Vulnerable; migrate to any release in 15.2SNG
15.1SV Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
Vulnerable; contact your support organization per the instructions in Obtaining Fixed Software section of this advisory.
15.1T Vulnerable; First fixed in Release 15.1M
Vulnerable; First fixed in Release 15.1M
15.1XB Vulnerable; First fixed in Release 15.1M
Vulnerable; First fixed in Release 15.1M
Affected 15.2-Based Releases First Fixed Release First Fixed Release for All Advisories in the September 2012 Cisco IOS Software Security Advisory Bundled Publication
15.2GC Releases prior to 15.2(3)GC are vulnerable; Releases 15.2(3)GC and later are not vulnerable.First fixed in Release 15.2T
Releases prior to 15.2(3)GC are vulnerable; Releases 15.2(3)GC and later are not vulnerable.First fixed in Release 15.2T
15.2JA Not vulnerable
Not Vulnerable
15.2M Not vulnerable

Not vulnerable
15.2S Not vulnerable

Cisco IOS XE devices: Please see Cisco IOS XE Software Availability
15.2(1)S2
15.2(2)S1
15.2(4)S

Cisco IOS XE devices: Please see Cisco IOS XE Software Availability
15.2SNG Not vulnerable
Not vulnerable
15.2T 15.2(1)T3
15.2(2)T2
15.2(3)T
15.2(1)T3
15.2(2)T2
15.2(3)T2; Available on 12-OCT-12

Cisco IOS XE ソフトウェア

Cisco IOS XE Software Release First Fixed Release First Fixed Release for All Advisories in the September 2012 Cisco IOS Software Security Advisory Bundled Publication
2.1.x Not vulnerable Vulnerable; migrate to 3.6.0S or later.
2.2.x Not vulnerable Vulnerable; migrate to 3.6.0S or later.
2.3.x Not vulnerable Vulnerable; migrate to 3.6.0S or later.
2.4.x Not vulnerable Vulnerable; migrate to 3.6.0S or later.
2.5.x Not vulnerable Vulnerable; migrate to 3.6.0S or later.
2.6.x Not vulnerable Vulnerable; migrate to 3.6.0S or later.
3.1.xS Not vulnerable 3.1.4S
3.1.xSG Not vulnerable Vulnerable; migrate to 3.2.5SG or later.
3.2.xS Not vulnerable Not vulnerable
3.2.xSG Not vulnerable 3.2.5SG
3.2.xXO Not vulnerable Vulnerable; migrate to 3.3.1SG or later.
3.3.xS Not vulnerable Vulnerable; migrate to 3.6.0S or later.
3.3.x.SG 3.3.1SG 3.3.1SG
3.4.xS Vulnerable; migrate to 3.6.0S or later. Vulnerable; migrate to 3.6.0S or later.
3.5.xS Vulnerable; migrate to 3.6.0S or later. Vulnerable; migrate to 3.6.0S or later.
3.6.xS Not vulnerable Not vulnerable
3.7.xS Not vulnerable Not vulnerable

Cisco IOS XE ソフトウェア リリースと Cisco IOS ソフトウェア リリースのマッピングについては、『Cisco IOS XE 2 Release Notes』、『Cisco IOS XE 3S Release Notes』、『Cisco IOS XE 3SG Release Notes』を参照してください。

Cisco IOS XR ソフトウェア

Cisco IOS XR ソフトウェアは、このアドバイザリで説明されている脆弱性の影響は受けません。



回避策

該当する Cisco IOS デバイスで SIP および SDP Pass-Through の VoIP サービスが必要な場合は、SIP と SDP Pass-Through をディセーブルにできないことから、回避策はありません。この脆弱性の発現を最小限に抑えるため、緩和策を適用することを推奨します。対応策とは、正当なデバイスだけがデバイスに接続できるように設定することです。効果を高めるには、この緩和策をネットワーク エッジにおけるアンチスプーフィングと組み合わせて利用する必要があります。この処理が必要になるのは、SIP の転送プロトコルとして UDP も使用できるためです。

ネットワーク内のシスコ デバイスに適用可能なその他の緩和策については、このアドバイザリの付属ドキュメント『Identifying and Mitigating Exploitation of the Cisco Unified Communications Manager and Cisco IOS Software Session Initiation Protocol Denial of Service Vulnerability』にて参照できます。
 
http://tools.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20120926-cucm

SIP リスニング ポートのディセーブル化

SIP をイネーブルにする必要がないデバイスの場合、最も簡単かつ効果的な回避策はそのデバイスの SIP 処理をディセーブルにすることです。Cisco IOS ソフトウェアの一部のバージョンでは、管理者が次のコマンドを使用して SIP をディセーブルにすることができます。

sip-ua
 no transport udp
 no transport tcp
 no transport tcp tls

警告警告:この回避策をメディア ゲートウェイ コントロール プロトコル(MGCP)または H.323 コールを処理しているデバイスに適用すると、アクティブ コールの処理中は SIP の処理が停止されません。このような場合は、アクティブ コールを一時的に停止できるよう、メンテナンス時にこの回避策を実行します。

show udp connections コマンド、show tcp brief all コマンド、および show processes | include SIP コマンドを使用すれば、この回避策を適用した後に SIP UDP ポートおよび TCP ポートが閉じていることを確認できます。

使用中の Cisco IOS ソフトウェア バージョンによっては、SIP がディセーブルにされたとき、show ip sockets コマンドコマンドの出力でまだ SIP ポートが開かれていると表示されることがありますが、それらにトラフィックを送信すると SIP プロセスは次のメッセージを表示します。

*Jul 27 15:22:41.251: sip_udp_sock_process_read: SIP UDP Listener is DISABLED

SDP Pass-Through のディセーブル化

SIP を有効のままにする必要があるものの、SDP Pass-Through が不要であれば、SDP Pass-Through をディセーブル化することで回避できます。SDP Pass-Through はデフォルトで無効にされています。SDP Pass-Through は、グローバル レベルまたはダイヤルピア レベルで有効化できます。SDP Pass-Through のディセーブル化は、「該当製品」セクションを参照してください。

コントロール プレーン ポリシング

SIP サービスが必要なデバイスの場合は、Control Plane Policing(CoPP)を使用して、信頼できない発信元からの SIP トラフィックをブロックできます。CoPP 機能は、Cisco IOS ソフトウェア リリース 12.0S、12.2SX、12.2S、12.3T、12.4、および 12.4T でサポートされています。管理およびコントロール プレーンを保護するために CoPP をデバイスに設定し、既存のセキュリティ ポリシーとコンフィギュレーションに従って認定されたトラフィックだけがインフラストラクチャ デバイス宛に送信されることを明示的に許可することで、インフラストラクチャへの直接攻撃のリスクとその効果を最小限に抑えることができます。次の例は、特定のネットワーク設定に適用できます。

!-- The 192.168.1.0/24 network and the 172.16.1.1 host are trusted.
!-- Everything else is not trusted. The following access list is used
!-- to determine what traffic needs to be dropped by a control plane
!-- policy (the CoPP feature): if the access list matches (permit)
!-- then traffic will be dropped and if the access list does not
!-- match (deny) then traffic will be processed by the router.
access-list 100 deny udp 192.168.1.0 0.0.0.255 any eq 5060
access-list 100 deny tcp 192.168.1.0 0.0.0.255 any eq 5060
access-list 100 deny tcp 192.168.1.0 0.0.0.255 any eq 5061
access-list 100 deny udp host 172.16.1.1 any eq 5060
access-list 100 deny tcp host 172.16.1.1 any eq 5060
access-list 100 deny tcp host 172.16.1.1 any eq 5061
access-list 100 permit udp any any eq 5060
access-list 100 permit tcp any any eq 5060
access-list 100 permit tcp any any eq 5061

!-- Permit (Police or Drop)/Deny (Allow) all other Layer3 and Layer4
!-- traffic in accordance with existing security policies and
!-- configurations for traffic that is authorized to be sent
!-- to infrastructure devices.
!-- Create a Class-Map for traffic to be policed by
!-- the CoPP feature.
class-map match-all drop-sip-class
  match access-group 100

!-- Create a Policy-Map that will be applied to the
!-- Control-Plane of the device.
policy-map control-plane-policy
 class drop-sip-class
  drop

!-- Apply the Policy-Map to the Control-Plane of the
!-- device.
control-plane
 service-policy input control-plane-policy

注: SIP は転送プロトコルとして UDP も使用できるため、IP パケットの送信元アドレスを詐称して、信用された IP アドレスからのこれらポート宛の通信を許可する ACL を回避される可能性があります。

上記の CoPP の例では、permit アクションによってアクセス コントロール リスト エントリ(ACE)に該当し、攻撃である可能性のあるパケットは、policy-map の drop 機能により廃棄されますが、一方、deny アクション(記載されていません)に該当するパケットは、policy-map の「drop」機能の影響を受けません。CoPP の設定と使用方法についての追加情報は、次のリンクで確認できます。http://www.cisco.com/web/about/security/intelligence/coppwp_gs.html および http://www.cisco.com/en/US/docs/ios/12_3t/12_3t4/feature/guide/gtrtlimt.html

修正済みソフトウェアの入手

シスコはこのアドバイザリに記載された脆弱性に対処する無償のソフトウェア アップデートを提供しています。ソフトウェアの導入を行う前に、お客様のメンテナンス プロバイダーにご相談いただくか、ソフトウェアのフィーチャ セットの互換性およびお客様のネットワーク環境に特有の問題に関してご確認ください。

お客様がインストールしたりサポートを受けたりできるのは、ご購入いただいたフィーチャ セットに対してのみとなります。そのようなソフトウェア アップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html に記載のシスコのソフトウェア ライセンスの条項に従うことに同意したことになります。

サービス契約をご利用のお客様

サービス契約をご利用のお客様は、通常のアップデート チャネルからアップグレード ソフトウェアを入手してください。ほとんどのお客様は、Cisco.com の Software Navigator からアップグレードを入手することができます。http://www.cisco.com/cisco/software/navigator.html

サードパーティのサポート会社をご利用のお客様

シスコ パートナー、正規販売代理店、サービス プロバイダーなど、サードパーティのサポート会社と以前に契約していたか、または現在契約しており、その会社からシスコ製品の提供または保守を受けているお客様は、該当するサポート会社に連絡し、適切な処置について支援を受けてください。

回避策の効果は、使用製品、ネットワーク トポロジー、トラフィックの性質や組織の目的などのお客様の状況に依存します。影響製品およびリリースが多種多様であるため、回避策を実際に展開する前に、対象とするネットワークで適用する回避策または修正が最適であるか、お客様のサービス プロバイダーやサポート会社にご相談ください。

サービス契約をご利用でないお客様

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティ ベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center(TAC)に連絡してアップグレードを入手してください。

  • +1 800 553 2447(北米内からのフリー ダイヤル)
  • +1 408 526 7209(北米以外からの有料通話)
  • 電子メール:tac@cisco.com

無償アップグレードの対象であることをご証明いただくために、製品のシリアル番号と、このアドバイザリの URL をご用意ください。サービス契約をご利用でないお客様は TAC を通して無償アップグレードをお求めください。

さまざまな言語向けの各地の電話番号、説明、電子メール アドレスなどの、この他の TAC の連絡先情報については、シスコ ワールドワイドお問い合わせ先を参照してください。http://www.cisco.com/en/US/support/tsd_cisco_worldwide_contacts.html

不正利用事例と公式発表

Cisco Product Security Incident Response Team(PSIRT)では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

この脆弱性は、TAC へのサービス リクエストの対応の際に発見されました。

この通知のステータス:FINAL

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証を示唆するものでもありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。またシスコシステムズはいつでも本ドキュメントの変更や更新を実施する権利を有します。

後述する情報配信の URL を省略し、本アドバイザリの記述内容に関して単独の転載や意訳を実施した場合には、事実誤認ないし重要な情報の欠落を含む統制不可能な情報の伝搬が行われる可能性があります。


情報配信

このアドバイザリは次のリンクにある Cisco Security Intelligence Operations に掲載されます。

http://www.cisco.com/cisco/web/support/JP/111/1116/1116604_cisco-sa-20120926-sip-j.html

また、このアドバイザリのテキスト版が Cisco PSIRT PGP キーによるクリア署名つきで次の電子メールで配信されています。

  • cust-security-announce@cisco.com
  • first-bulletins@lists.first.org
  • bugtraq@securityfocus.com
  • vulnwatch@vulnwatch.org
  • cisco@spot.colorado.edu
  • cisco-nsp@puck.nether.net
  • full-disclosure@lists.grok.org.uk

このアドバイザリに関する今後の更新があれば、Cisco.com に掲載されますが、メーリング リストで配信されるとは限りません。このアドバイザリの URL で更新をご確認いただくことができます。


更新履歴

Revision 1.1 2012-October-03 Clarify that Cisco Unified Border Element (SP Edition) is not affected.
Revision 1.0 2012-September-26 Initial public release.

シスコ セキュリティ手順

シスコ製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関する支援、およびシスコからセキュリティ情報を入手するための登録方法について詳しく知るには、Cisco.com の http://www.cisco.com/en/US/products/products_security_vulnerability_policy.html にアクセスしてください。この Web ページには、シスコのセキュリティ アドバイザリに関してメディアが問い合わせる際の指示が掲載されています。すべてのシスコ セキュリティ アドバイザリは、http://www.cisco.com/go/psirt/ で確認することができます。