severity

アドバイザリーID : cisco-sa-19971001-chap

初公開日 : 1997-10-01 16:00

バージョン 4.0 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

PPP CHAP認証には、リリース9.1(1)でCHAPサポートが導入された時点から、すべての「クラシック」Cisco IOSソフトウェアバージョン（製品番号が1000以上のCisco非スイッチ製品、AGS/AGS+/CGS/MGS、およびCS-500で使用されているソフトウェアで、Catalystスイッチや7xxまたは9xxルータでは使用されていない）に重大なセキュリティ脆弱性(バグID CSCdi91594)があります。この脆弱性により、適切なスキルと知識を持つ攻撃者がCHAP認証を完全に回避できるようになります。他のPPP認証方式は影響を受けません。

関連する脆弱性は、Cisco IOS/700ソフトウェア（7xxルータで使用されるソフトウェア）に存在します。IOS/700の設定に関する回避策は存在し、76xおよび77xルータの完全な修正は、1997年12月までにリリースされる予定のソフトウェアバージョン4.1(2)に含まれる予定です。75xルータの修正は、1998年上半期に予定されています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-19971001-chap で公開されています。

該当製品

脆弱性のある製品

上記よりも古い「クラシック」Cisco IOSソフトウェアリリースを実行し、PPP認証でCHAPに依存するすべてのシステムに脆弱性が存在します。シスコは、ISDNモデムやPOTSモデムなどを使用するダイヤルインサービスが最も現実的なリスクであると考えています。

IOS/700ソフトウェアを実行しているシステムでは、発信側と着信側の両方のシステムを認証するために双方向でCHAPを使用している場合、関連する攻撃に対する脆弱性が存在します。PPP認証にPAPを使用するシステムには脆弱性はありません。

脆弱性を含んでいないことが確認された製品

PPPが設定されていないシステムには脆弱性はありません。キーワード「ppp」と「chap」の両方がシステム設定ファイルに表示されない場合は、脆弱ではありません。

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

現時点では、これらの脆弱性に関するこれ以上の詳細な情報は公開されません。詳細は、1998年3月31日以降に関係者に公開される予定です。

Cisco IOSソフトウェアの脆弱性に対するCisco Bug Tracking NumberはCSCdi91594です。10.3(19)の修正で発生したエラーのバグトラッキング番号はCSCdj37314です。

回避策

このセクションでは、次の脆弱性の回避策について説明します。

従来のCisco IOS

シスコでは、従来のCisco IOSの脆弱性に対して一般的に使用可能な回避策を知りません。影響を受けるユーザが自身を保護するには、ソフトウェアをアップグレードするか、CHAP認証の使用を停止する必要があります。CHAP認証の代替手段には、PAP認証と「発信者ID」情報への依存があります。これらの方法のセキュリティの違いは複雑で状況に依存するため、このドキュメントでは説明しません。

IOS/700

IOS/700の脆弱性は、次のいずれかの設定変更によって回避できます。

- おそらくISDNスイッチの設定を変更するか、発信者IDに依存し、set calleridおよびset callidreceiveコマンドを使用することによって、問題のルータが着信コールを受信しないようにします。

- CHAPを使用して、コールを受信するルータが発信側システムに対して自身を認証することを防止します。これを行うには、set ppp secret clientコマンドを使用して、ランダムに選択された任意の値に認証に使用されるCHAPシークレットを設定します。

- 各リンクの各方向で異なるCHAPシークレットが使用されるようにルータを設定します。これを行うには、set ppp secret clientコマンドとset ppp secret hostコマンドを使用します。この方法は、従来のCisco IOSルータと通信する必要がある7xxルータでは使用できないことに注意してください。従来のCisco IOSでは、非対称CHAPシークレットはサポートされていないためです。

これらの変更はどれでも十分です。この変更は、IOS/700ソフトウェアバージョン4.1(2)のリリースおよびインストール後に削除される場合があります。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

この問題は、次の従来のCisco IOSソフトウェアリリースで修正されています。

メジャー リリース

最初に修復されたメンテナンスリリース

インストールに推奨されるメンテナンスリリース

Cisco IOS 10.3

10.3(19a)

10.3(19a)

Cisco IOS 11.0

11.0(17)、11.0(17)BT

11.0(17)、11.0(17)BT

Cisco IOS 11.1

11.1(13)、11.1(13)AA、11.1(13)CA、11.1(13)IA

11.1(14)、11.1(14)AA、11.1(14)CA、11.1(14)IA

Cisco IOS 11.2

11.2(8)、11.2(8)P、11.2(4)F1(11.2(4)Fに代わる)

11.2(8)、11.2(8)P、11.2(4)F1。11.2(9)はCHAPユーザには推奨されません。

Cisco Systemsでは、CHAP認証を使用する従来のCisco IOS PPPを使用しているすべてのユーザを、次のいずれかまたは新しいリリースにアップグレードすること、およびCHAP認証を使用するIOS/700 PPPのすべてのユーザに、このドキュメントで説明する設定の回避策をインストールすることを強く推奨しています。

11.2(4)F1リリースは、1997年10月6日（月）までに提供される予定です。11.2Fリリースのユーザは、可能な限り11.2または11.2Pリリースに移行することをお勧めします。上記のその他すべてのリリースは、このField Noticeのリリース後すぐに利用可能になります。

上記の推奨リリース番号は、最も一般的な状況に最適な選択肢であると考えられますが、使用するリリースを選択する前に、お客様がネットワーク構成やその他のニーズを評価することが非常に重要です。

シスコでは、この脆弱性に対処するために、すべての従来のCisco IOS PPPユーザに対して無償のソフトウェアアップグレードを提供しています。アップグレードの詳細は、このField Noticeの末尾に記載されています。IOS/700バージョン4.1(2)のリリース時に、IOS/700ユーザに無償アップグレードが提供されます。

従来のCisco IOSソフトウェアは、このField Noticeの最初のセクションに記載されているリリースのいずれか、またはそれ以降のリリースにアップグレードする必要があります。新しいソフトウェアを入手する手順は、このField Noticeの末尾に記載されています。アップグレードされたソフトウェアのインストール手順は、標準のシステムドキュメントに記載されています。

Cisco IOSソフトウェアのアップグレードをインストールする前に、新しいソフトウェアがお使いのハードウェアと互換性があることを必ず確認してください。特に、アップグレードを実行するのに十分なメモリがあることを確認することが重要です。一般的なサポートと完全なシステムドキュメントは、インターネットのWorldwide Web(http://www.cisco.com)から入手できます。

何らかの説明のアップグレードをインストールする前に、インストールするバージョンに設定に悪影響を及ぼすバグがないことを確認することをお勧めします。ソフトウェアアップグレード全般に関する詳細およびアドバイスについては、シスコのWebサイトを参照してください。

新しいソフトウェアは、CHAP関連の攻撃に対する耐性を高めるために、さまざまな方法で変更されています。これらの変更の一部により、特定のお客様のネットワークでCHAP認証が失敗する場合があります。シスコでは、影響を受ける設定はまれであると考えています。アップグレードしたソフトウェアをインストールしても、正当なCHAP接続が機能しなくなった場合は、この後の段落を参照してください。この段落には、実際のネットワークで発生する可能性のある障害について説明していると思われます。次の段落を読んでもCHAPが機能しない場合は、Cisco TACに連絡して、ソフトウェアの再設定を依頼してください。

この脆弱性に対する修正はCisco IOSソフトウェアバージョン10.3(19)でリリースされましたが、修正の実装でエラーが発生したため、10.3(19)システム間のほぼすべてのCHAP認証が失敗しました。このエラーは、10.3(19a)で修正されています。CHAPが使用されている各インターフェイスに対してコマンドno ppp chap waitが設定されている場合は、10.3(19)を安全に使用できます。変更された動作が防御する潜在的な攻撃に対して複数の修正が導入されているため、no ppp chap waitを使用してもシステムの脆弱性が大幅に増加することはありません。

ISDNスイッチなどの中間デバイスが、変更されたCisco IOSソフトウェアを実行している2つの異なるシステムへの着信コールを確立してから、これら2つのシステムを互いに接触させると、2つのシステム間のCHAP認証が失敗する場合があります。これは、各システムがコールの受信を「認識」し、どちらのシステムもコールの発信を「認識」していないためです。これが設定の問題である場合は、両方のシステムの影響を受けるインターフェイスに専用のコマンドppp directionを使用します。

不正利用事例と公式発表

シスコでは、これらの脆弱性が「システムクラッカー」によって悪用されたこと、および一般に公開されている悪用コードを認識していません。シスコは、これらの脆弱性の詳細がクラッカーコミュニティで広く理解されているとは考えていません。しかし、これらの脆弱性の理論的な可能性については、PPPセキュリティの専門家の間で率直に議論されています。

シスコでは、これらの脆弱性が積極的に悪用されていることを認識していませんが、クラッカーコミュニティが最終的に脆弱性を「発見」し、この通知を発行することで脆弱性の悪用プロセスが加速されると考えています。脆弱性を持つお客様は、可能な限り迅速にアップグレードまたは回避策をインストールする必要があります。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-19971001-chap

改訂履歴

Revision 4.0

1997年10月1日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。