|Log In|Register|Feedback|Help 
 |
| Select a Location / Language |
| Japan: Japanese | |
 |
| | | | |
|||||
| | | |
Home|Log In|Register|Feedback|Help |
|||||
| |
||||||||
|
|
|
|||||||
|
|||||||||
|
|||||||||
|
|||||||||
 |
|
 |
 |
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
Cisco Security Advisory: Cisco Telnet Denial of Service VulnerabilityRevision 2.3 Last Updated 2004 October 31 2200 UTC For Public Release 2004 August 27 1000 UTC UTC 目次要約 要約Internetwork Operating System (IOS)(R) が稼動する シスコ機器の Telnet 又は Reverse Telnet ポートに対して、巧妙に作られた TCP 接続を行うと、それ以降の Telnet、Reverse Telnet、Remote Shell (RSH)、Secure Shell (SSH)、および場合に よっては Hypertext Transport Protocol (HTTP) によるシスコ機器のアクセスができなくなります。 Data Link Switching (DLSw) および protocol translation コネクションもまた影響を受ける 可能性があります。それ以前に確立している Telnet、Reverse Telnet、RSH、SSH、DLSw および Protocol Translation セッションには影響はありません。 その他の全てのサービスは正常に動作します。パケット転送 (上記の DLSw と Protocol Translation を除く) 、 ルーティングプロトコル、その他の機器を通過するすべての通信、或いは機器への通信に関して は影響を受けません。 シスコは本脆弱性を解決するための無償のソフトウェアを作成しました。以下に示す回避策は、 本脆弱性に対する防御を行うために有効です。 本脆弱性はバグ ID CSCef46191 としてドキュメントしております。(登録ユーザのみ） 本アドバイザリは以下にて確認可能です。 http://www.cisco.com/warp/public/707/cisco-sa-20040827-telnet.shtml日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟 齬がある場合には、英語原文が優先いたします。 該当製品
本脆弱性は、未修正の IOS バージョンが稼動しており Telnet もしくは Reverse Telnet に
よるアクセスを許可しているすべてのシスコ機器に影響があります。
ソフトウェアバージョンおよび修正の項にリストされた修正リリース以外には脆弱性が存在します。
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
主要リリース |
主要リリース 修正ソフトウェアの |
||
|---|---|---|---|
|
該当の 12.0 ベースのリリース |
リビルド |
メンテナンス |
|
|
12.0 |
12.0(5)WC11 利用可能日 2004 年 12 月 20 日 |
? | |
|
12.0S |
12.0(26)S5 利用可能日 2004 年 11 月 8 日 |
? | |
|
12.0(27)S4 利用可能日 2004 年 12 月 31 日 |
? | ||
|
12.0(28)S2 利用可能日 2004 年 11 月 30 日 |
? | ||
| ? |
12.0(30)S 利用可能日 2004 年 11 月 29 日 |
||
|
該当の 12.1 ベースのリリース |
リビルド |
メンテナンス |
|
|
12.1 |
? |
12.1(26) 利用可能日 2004 年 11 月 30 日 |
|
|
12.1E |
12.1(20)E5 |
? | |
|
12.1(22)E3 |
? | ||
|
12.1(23)E1 |
? | ||
| ? |
12.1(24)E 利用可能日 2004 年 12 月 20 日 |
||
|
12.1EA |
12.1(22)EA2 利用可能日 2004 年 11 月 15 日 |
? | |
|
該当の 12.2 ベースのリリース |
リビルド |
メンテナンス |
|
|
12.2 |
? |
12.2(27) 利用可能日 2004 年 11 月 9 日 |
|
|
12.2BC |
12.2(15)BC1f |
? | |
|
12.2(15)BC2e 利用可能日 2004 年 11 月 1 日 |
? | ||
|
12.2EW |
12.2(18)EW2 利用可能日 2004 年 11 月 4 日 |
? | |
|
12.2JK |
12.2(15)JK2 |
? | |
|
12.2S |
12.2(14)S12 利用可能日 2004 年 11 月 22 日 |
? | |
|
12.2(18)S6 |
? | ||
|
12.2(20)S6 利用可能日 2004 年 11 月 15 日 |
? | ||
|
12.2(25)S1 |
? | ||
|
12.2SE |
12.2(20)SE3 |
? | |
| ? |
12.2(25)SE |
||
|
12.2SU |
12.2(14)SU2 |
? | |
|
12.2SV |
? |
12.2(24)SV |
|
|
12.2SXB |
12.2(17d)SXB5 利用可能日 2004 年 11 月 5 日 |
? | |
|
12.2SXD |
12.2(18)SXD1 |
? | |
|
12.2T |
12.2(13)T14 |
? | |
|
12.2XR |
12.2(15)XR2 |
? | |
|
該当の 12.3 ベースのリリース |
リビルド |
メンテナンス |
|
|
12.3 |
12.3(6d) |
? | |
|
12.3(9c) 利用可能日 2004 年 12 月 2 日 |
? | ||
|
12.3(10a) 利用可能日 2004 年 11 月 9 日 |
? | ||
|
12.3(12) 利用可能日 2004 年 11 月 29 日 |
? | ||
|
12.3BC |
12.3(5a)B2 |
? | |
| ? |
12.3(9a)BC |
||
|
12.3JA |
? |
12.3(2)JA |
|
|
12.3T |
12.3(2)T8 |
? | |
|
12.3(4)T8 |
? | ||
|
12.3(7)T4 |
? | ||
|
12.3(8)T4 |
? | ||
| ? |
12.3(11)T |
||
|
12.3XD |
12.3(4)XD4 リリース日未定 |
? | |
|
12.3XG |
12.3(4)XG2 |
? | |
|
12.3XI |
12.3(7)XI2 利用可能日 2004 年 11 月 5 日 |
? | |
|
12.3XK |
12.3(4)XK1 |
? | |
|
12.3XR |
12.3(7)XR3 |
? | |
|
12.3XU |
12.3(8)XU2 |
? | |
|
12.3YD |
? |
12.3(8)YD |
|
|
* 日付はすべて予定であり、変更される可能性があります。 |
|||
http://www.cisco.com/tacpage/sw-center/シスコパートナー、正規販売代理店等と、過去または現在の契約を通じてシスコ機器を購入、保守管理しているお客様は、その正規販売代理店を経由して無償ソフトウェアアップグレードを入手してください。
無償アップグレード資格がある証拠として、製品のシリアル番号と、この通知の URL を 提示してください。契約がないお客様の無償アップグレードは TAC を通して要求してく ださい。+1 800 553 2447 (北米内からフリーダイヤル) +1 408 526 7209 (北米以外からの有料通話) e-mail: tac@cisco.com
http://www.cisco.com/warp/public/687/Directory/DirTAC.shtmlお客様におかれましては、ご購入いただきましたフィーチャーセットに関してのみ インストールいただくことができ、サポートさせていただきます。インストール、 ダウンロード、アクセス、その他ソフトウェアアップグレードされた場合は、 以下の Cisco Software License Term に従うことに同意したものとします。
http://www.cisco.com/public/sw-license-agreement.html
http://www.cisco.com/public/sw-center/sw-usingswc.shtml
http://cisco.com/en/US/products/sw/iosswrel/ps1835/products_configuration_Telnet アクセスを無効化し、SSH アクセスを有効にするには VTY ラインを次のように定義します:
guide_chapter09186a00800ca7d5.html#1001167
注: SSH が有効化されても、Telnet が無効化されるまでは機器は保護されません。Router(config)# line vty 0 4 Router(config-line)# transport input ssh
http://cisco.com/en/US/products/sw/iosswrel/ps1835/products_command_reference_以下の設定例は 192.168.1.0/24 のネットワークブロックと 172.16.1.2 からの VTY へのアクセスを許可し、 それ以外からのアクセスを拒否します。
chapter09186a00800873c8.html#wp1017389
Terminal Server として稼動している機器の Reverse Telnet ポートに Access Class を設定するには access-list を AUX ポートと Terminal Line に対しても設定しなくてはなりません。Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255 Router(config)# access-list 1 permit host 172.16.1.2 Router(config)# line vty 0 4 Router(config-line)# access-class 1 in
シスコ機器の種類によって Terminal Line の番号が異なります。機器の適切な Terminal Line の番号を 特定するために、対象機器の設定をご確認ください。Router(config)# line 1 <x> Router(config-line)# access-class 1 in
Router(config)# access-list 100 deny tcp any any eq telnetこのアクセスリストをパブリックネットワークに接続されたすべてのインターフェースに適用し、インバウンド Telnet/Reverse Telnet トラフィックを遮断します。
Router(config)# access-list 100 deny tcp any any range 2001 2999
Router(config)# access-list 100 deny tcp any any range 3001 3099
Router(config)# access-list 100 deny tcp any any range 6001 6999
Router(config)# access-list 100 deny tcp any any range 7001 7099
Router(config)# access-list 100 permit ip any any
Router(config)# interface Ethernet 0/0Telnet は、信頼出来るネットワークへの全てのアクセスを制御する Transit ACL の一部として、ブロックされるべきです。 Transit ACL は、特定の脆弱性に対する回避策であると同時に、 長期に渡る最善のネットワークセキュリティーと考えることが出来ます。 ホワイトペーパーの "Transit Access Control Lists: Filtering at Your Edge" は、 Transit ACL の実装の際のガイドラインと推奨される導入方法が記載されています。
Router(config-if)# ip access-group 100 in
http://www.cisco.com/warp/public/707/tacl.html
http://www.cisco.com/warp/public/707/iacl.html
http://www.cisco.com/warp/public/707/racl.html
Router# who
Line User Host(s) Idle Location
0 con 0 192.168.10.72 00:00:00
* 2 vty 0 idle 00:00:00 192.168.10.72
3 vty 1 idle 00:00:04 192.168.10.10Router# clear tcp line vty 1 [confirm] [OK]
注）機器に接続するために Telnet を使用している場合、TCP 接続をクリアする ことで、偶然にもご自身で使用されている Telnet セッションを切断してしまう 場合があります。もし IOS 機器の脆弱性を利用されている場合、Telnet により 再接続することはできません。復旧するためには Console アクセスもしくは機器 の再起動が必要になります。
SNMP による、ハングしている TCP 接続の検知とクリアも可能です。ハング中の接続を検知するためには、デバイス上に SNMP の読み取り専用のコミュニティ ストリングが設定されている必要があります。接続をリセットするためには、デバイス上に SNMP read-write が可能なコミュニティ ストリングが設定されている必要があります。
ハングしている TCP 接続を SNMP を使って検知およびクリアする方法の詳細は、次の文書を参照してください。
http://www.cisco.com/warp/public/477/SNMP/fixTCPhang.html
http://www.cisco.com/warp/public/707/cisco-sa-20040827-telnet.shtmlワールドワイドのウェブ以外にも、次の電子メールおよび Usenet ニュースの受信者 向けに、この通知のテキスト版がシスコ PSIRT PGP キーによるクリア署名つきで投稿 されています。
この通知に関する今後の最新情報は、いかなるものもシスコのワールドワイドウェブに掲載される予定です。 しかしながら、前述のメーリングリストもしくはニュースグループに対し積極的に配信されるとは限りません。この問題に関心があるお客様は上記 URL にて最新情報をご確認いただくことをお勧めいたします。cust-security-announce@cisco.com first-teams@first.org (includes CERT/CC) bugtraq@securityfocus.com vulnwatch@vulnwatch.org cisco@spot.colorado.edu cisco-nsp@puck.nether.net full-disclosure@lists.netsys.com comp.dcom.sys.cisco@newsgate.cisco.com
| Revision 2.3 | 2004-October-31 |
「ソフトウェアバージョンおよび修正」のセクションの最初の修正リリースの表を更新。 |
| Revision 2.2 | 2004-October-16 |
修正イメージのアベイラビリティに関する情報を「ソフトウェアバージョンおよび修正」のセクションに追加。 |
| Revision 2.1 | 2004-September-09 |
「回避策」のセクションの「TCP 接続の IOS
CLI によるクリア方法」の説明のタイトルを「停止している TCP 接続の IOS CLI によるクリア方法」に変更。 「停止している TCP 接続の SNMP によるクリア方法」の説明を「回避策」のセクションに追加 |
| Revision 2.0 | 2004-September-2 |
潜在的に影響があるプロトコルとして DLSw とProtocol
Translation を追加。 影響を受ける IOS トレインを明示的に表記。 Catalyst スイッチに関する注を「回避策」の項に追加。 IOS コマンドによる問題となる telnet TCP 接続のクリア方法を追加。 |
|
Revision 1.3 |
2004-August-31 |
潜在的に影響を受けたプロトコルとして DLSw を追加。 |
|
Revision 1.2 |
2004-August-27 |
[脆弱性が存在する製品] の項の更新 |
|
Revision 1.1 |
2004-August-27 |
[詳細] の項へ２番目のパラグラフを追加 |
|
Revision 1.0 |
2004-August-27 |
初版 |
http://www.cisco.com/en/US/products/products_security_vulnerability_policy.htmlにアクセスしてください。 このページにはシスコのセキュリティ通知に関して メディアが問い合わせる際の指示が掲載されています。
| Updated: Oct 31, 2004 | Document ID: 61671 |
 |
ニュースレター | |
 |
|
|
ご意見・ご要望 | |
|
|
| | | |
|
|
|
|
