severity

アドバイザリーID : cisco-sa-19980910-pix-cbac-nifrag

初公開日 : 1998-09-10 15:00

バージョン 1.2 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

シスコのPIX Firewallでも、シスコのIOS Firewall機能セットのContext-Based Access Control(CBAC)機能でも、フラグメント化されたIPパケットを含む特定のDoS攻撃からホストを保護することはありません。この脆弱性は、ネットワークの「侵入」を許可しません。この脆弱性は、スタティックNetwork Address Translation（NAT；ネットワークアドレス変換）エントリを含む設定、またはNATをまったく使用しない設定で最も深刻です。

この脆弱性は、バージョン4.2以前のCisco PIX Firewallソフトウェアと、11.2Pおよび11.3Tを介したCisco IOSソフトウェアのCBACバージョンに存在し、CBACソフトウェアの最初の12.0リビジョンに存在します。

Cisco Centriファイアウォールには、この脆弱性は存在しません。

Cisco IOSソフトウェアの非CBACバージョンで使用できる拡張アクセスリストなどのステートレスパケットフィルタリング製品には、ステートレス動作に固有の制限があるため、この脆弱性が共通して存在します。これは、ステートレスフィルタリングの不具合とはみなされません。詳細は、このドキュメントの「ステートレスパケットフィルタ」のセクションを参照してください。

この脆弱性は、1998年9月16日以降にリリースされる予定のCisco PIX Firewallソフトウェアバージョン4.2(2)で修正されます。この脆弱性は、Cisco IOSソフトウェアリリース12.0(2)および12.0(3)TのCBACで修正される予定です。Cisco IOSソフトウェアリリース12.0(2)および12.0(3)Tは、それぞれ1998年11月下旬および1999年1月下旬にリリースされる予定です。すべてのスケジュールは変更される可能性があります。

シスコや他のベンダーのパケットフィルタに対するIPフラグメンテーション攻撃の可能性は、非常に長い間広く知られています。しかし、利用が増加しているとは思えません。したがって、シスコは、お客様の大多数がこの脆弱性の重大な影響を受けているとは考えていません。しかし、シスコは、実際に攻撃を受けたり、このような攻撃を受ける可能性が高いと考える特定の理由があるお客様をサポートする準備を整えています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-19980910-pix-cbac-nifrag で公開されています。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

ソフトウェアバージョンが4.2(1)以前のCisco PIX Firewallが影響を受けます。11.2Pおよび11.3T（すべての編集レベル）以前のCisco IOSソフトウェアバージョンのCBAC機能と、12.0(1)および12.0(2)T以前の12.0バージョンおよび12.0Tバージョンも影響を受けます。

同様の脆弱性は、シスコまたはその他のベンダーのステートレスパケットフィルタリング製品を使用するすべてのユーザに影響を与えます。影響を受けるパケットフィルタは、TCPやUDPポート番号などの情報に基づいてフィルタリングできるフィルタであり、データグラムのすべてのフラグメントに存在するとは限りません。この脆弱性は、ステートレスパケットフィルタリング製品の不具合とはみなされません。

非CBACのCisco IOSソフトウェア拡張アクセスリストを使用したパケットフィルタリングは、このカテゴリのステートレスフィルタリングに該当します。このようなアクセスリストには、Cisco IOSソフトウェアのすべてのバージョンで脆弱性が存在します。影響を受ける拡張アクセスリストは、100 ～ 199の番号付きリスト、またはextendedキーワードで作成された名前付きアクセスリストです。1 ～ 99の番号が付けられた非拡張Cisco IOSアクセスリストは、ポート番号でのフィルタリングに対応していないため、この脆弱性の影響を受けません。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

このセクションでは、これらの脆弱性に関する詳細情報を提供します。

PIX ファイアウォール

PIXファイアウォールのこの脆弱性には、Cisco Bug ID CSCdk36273が割り当てられています。

注：登録CCOユーザであり、ログインしている場合は、バグの詳細を表示できます。

CSCdk36273の表示(登録ユーザ専用)

PIXファイアウォールの問題の説明

バージョン4.2(1)までのPIX Firewallソフトウェアは、スタティックまたはダイナミックNATテーブルエントリが存在するホスト宛ての先頭以外のフラグメントを渡します。スタティックNATテーブルエントリは、PIXファイアウォールのstaticコマンドを使用して作成され、ダイナミックエントリは、InsideホストがOutsideホストとの間でIPトラフィック交換を開始することによって作成されます。先頭以外のフラグメントが実際の既存の接続に属しているかどうかはチェックされません。したがって、外部ホストは、2つのホスト間に接続があるかどうかに関係なく、またコンジットが設定されているかどうかにも関係なく、NATエントリを持つ任意の内部ホストにフラグメントを送信できます。

PIXファイアウォールのための迅速な応答

バージョン4.2(2)のPIX Firewallの動作は、次のように変更されています。

- インターフラグメントの状態を保持しています。先頭以外のフラグメントは、対応する先頭フラグメントがファイアウォールの通過を許可されていない限り、廃棄されます。対応する先頭フラグメントよりも前に受信された先頭以外のフラグメントは廃棄されます。

これにより、一致しない先頭以外のフラグメントによってホストリソースが過負荷になる可能性がなくなり、攻撃者は、一致しない先頭フラグメントを使用する攻撃に対して比較的精巧なアドレススプーフィングを使用する必要があります。

この変更は、フラグメントが順不同で到着したデータグラムをファイアウォールが廃棄する結果になるため、特定のケースでは望ましくない影響を及ぼす可能性があります。正当なフラグメントの順序が入れ替わった配信を引き起こす可能性のある状況はいくつかあります。そのため、新しいソフトウェアのインストールには注意が必要です。ただし、シスコは、正当な不正なフラグメント化トラフィック（またはどのような種類のフラグメント化トラフィック）がインターネットファイアウォールで一般的であると考えていません。

- コンジットのないホストに対して受信されたフラグメントは、それらのフラグメントがアクティブな接続と一致しない限り廃棄されます。マッチングは、IP送信元アドレス、宛先アドレス、およびプロトコルタイプを使用して実行されます。

- PIXファイアウォール自体に対するサービス拒否攻撃の可能性を減らすために、フラグメンテーション状態に専用のメモリの量は制限されています。フラグメンテーション状態は、最初のフラグメントへの応答でのみ作成され、対象のデータグラムのすべてのフラグメントが処理されるか、タイムアウトが経過するまで維持されます。フラグメンテーション状態のリソースが使い果たされたときに受信された初期フラグメントは廃棄されます。

フラグメント状態メモリが不足しているため、フラグメント化されていないトラフィックは廃棄されません。システムがフラグメント化されたパケットによる攻撃を受けている場合でも、正当なフラグメント化されたトラフィックがある場合でも、ファイアウォールのフラグメント状態リソースの一部を引き続き取得し、正当なフラグメント化されていないトラフィックが妨げられずに流れます。

これらの変更または同等の変更は、バージョン4.2(2)以降のすべてのPIX Firewallソフトウェアバージョンに適用されます。

PIXファイアウォールの修正済みソフトウェアの入手

シスコは、サービス契約のステータスに関係なく、すべてのPIX Firewallのお客様に4.2(2)ソフトウェアへの無償アップグレードを提供しています。4.2(2)ソフトウェアがリリースされ次第、アップグレードが利用可能になります。

ソフトウェアがリリースされると、サービス契約を結んでいるお客様は、シスコのWorldwide Webサイトからソフトウェアをダウンロードできます。

サービス契約を結んでいないお客様は、Cisco TACに連絡してアップグレードを入手してください。TAC の連絡先は次のとおりです。

- +1 800 553 2447（北米国内からのフリーダイヤル）

- +1 408 526 7209（全世界からの有料通話）

- 電子メール：tac@cisco.com

無料アップグレードの資格として、この通知の URL をご用意ください。契約を結んていないお客様向けの無料アップグレードは TAC 経由でご要求いただく必要があります。ソフトウェア アップグレードに関して、「psirt@cisco.com」または「security-alert@cisco.com」にお問い合せいただくことはご遠慮ください。

新しいソフトウェアインストールと同様に、バージョン4.2(2)へのアップグレードを計画しているPIX Firewallのお客様は、アップグレードを開始する前に、リリースノートやその他の関連ドキュメントを注意深く読む必要があります。

PIXファイアウォールのための長期計画

シスコでは、フラグメンテーションに関連する脆弱性を修正するために、PIX Firewallのフラグメント処理に追加の変更を加える可能性を評価しています。これ以上の変更を行うと、比較的大きな性質を持つ可能性が高いため、リリース4.2以降のPIX Firewallリリースに表示される可能性があります。

PIXファイアウォールのための回避策

この脆弱性に対する直接的な回避策はありませんが、お客様はスタティックNATエントリへの依存を回避することで、エクスポージャを減らすことができます。ダイナミックNATをアクティブに使用しているホストは、修正済みソフトウェアがインストールされるまで、ある程度の脆弱性が残ります。ただし、動的に割り当てられたアドレスに対して脆弱性を不正利用することは、静的に割り当てられたアドレスに対して脆弱性を不正利用するよりも困難です。ダイナミックNATを介してこの脆弱性を不正利用するには、攻撃者は任意の時点でどのダイナミックアドレスがアクティブであり、これらのアクティブアドレスがどのホストに対応するかを判断するために追加の作業を行う必要があります。

CBAC (Cisco IOS Firewall Feature Set) 詳細

CBAC機能のこの脆弱性には、Cisco Bug ID CSCdk41516が割り当てられています。

注：登録CCOユーザであり、ログインしている場合は、バグの詳細を表示できます。

CSCdk41516を表示する(登録ユーザ専用)

CBAC の問題の説明

Cisco IOS CBAC機能は、11.2Pおよび11.3Tを含む11.2および11.3ベースのすべてのバージョンまで、および12.0(1)および12.0(2)Tを含む12.0ベースのバージョンまで、先頭以外のIPフラグメントのフィルタリングを行いません。CBAC機能は、拡張IPアクセスリストを動的に変更することによって、フィルタリングの大部分を実行します。すべてのCisco IOS拡張アクセスリストと同様に、CBACによって変更されたアクセスリストは、常に先頭以外のフラグメントを渡します。

CBAC のための迅速な応答

CBAC機能の動作に次の変更が加えられ、現在バージョン12.0(2)および12.0(3)Tを対象としています。

- インターフラグメント状態は保持されます。先頭以外のフラグメントは、対応する先頭フラグメントがファイアウォールの通過を許可されていない限り、廃棄されます。対応する先頭フラグメントよりも前に受信された先頭以外のフラグメントは廃棄されます。

これは、ip inspect設定コマンドで設定されたCBACによって処理されるパケットだけに適用されます。CBACによって検査されないルータトラフィックには、そのトラフィックがアクセスリストでフィルタリングされている場合でも、フラグメンテーション状態チェックは適用されません。

この変更により、一致しない先頭以外のフラグメントによってホストリソースが過負荷になる可能性がなくなり、攻撃者は、一致しない先頭フラグメントを使用する攻撃に対して、比較的精巧なアドレススプーフィングを使用する必要があります。

この変更は、フラグメントが順不同で到着したパケットをファイアウォールが廃棄する結果になるため、特定のケースでは望ましくない影響を及ぼす可能性があります。正当なフラグメントの順序が入れ替わった配信を引き起こす可能性のある状況はいくつかあります。Cisco IOSソフトウェアが稼働するルータは非常に多様なネットワークで使用されており、またCBAC機能は内部ネットワークの各部分を相互に分離するために頻繁に使用されるため、新しい動作はデフォルトで有効になりません。フラグメントチェックは、ip inspect name inspect-name fragment設定コマンドを使用して明示的に有効にする必要があります。CBACがインターネットファイアウォールとして使用されている場合は、特別な事情がない限り、常にこのコマンドを使用することをお勧めします。シスコは、インターネットファイアウォールでは正当な順序が入れ替わったフラグメントはまれであると考えています。

- ファイアウォールルータ自体に対するサービス拒否攻撃の可能性を減らすために、フラグメンテーション状態に専用のメモリの量は制限されています。フラグメンテーション状態は、最初のフラグメントへの応答でのみ作成され、対象のデータグラムのすべてのフラグメントが処理されるか、タイムアウトが経過するまで維持されます。フラグメンテーション状態のリソースが使い果たされたときに受信された初期フラグメントは廃棄されます。

フラグメント状態メモリが不足しているため、フラグメント化されていないトラフィックは廃棄されません。システムがフラグメント化されたパケットによる攻撃を受けている場合でも、正当なフラグメント化されたトラフィックがある場合でも、ファイアウォールのフラグメント状態リソースの一部を引き続き取得し、正当なフラグメント化されていないトラフィックが妨げられずに流れます。

- フラグメントの長さは適法性がチェックされ、フラグメントオフセットはポート番号上書き攻撃を回避するためにチェックされます。このオフセットチェックは、アクセスリストなしでCBACが使用されている特殊な設定に対して、拡張アクセスリストによってすでに適用されているチェックを複製します。

これらの変更または同等の変更は、Cisco IOSファイアウォールフィーチャセットの今後のすべてのバージョンに適用されます。

CBAC の修正済みソフトウェアの入手

シスコは、サービス契約のステータスにかかわらず、Cisco IOSファイアウォールフィーチャセットを購入されたすべてのお客様に無償アップグレードを提供しています。ステートレスパケットフィルタリングには不具合がないため、この無償アップグレードプログラムは、ファイアウォール以外のCisco IOSのみを購入したお客様には適用されません。

更新されたソフトウェアがリリースされたら、サービス契約を結んでいるお客様は、通常のチャネルでCisco IOSソフトウェアアップデートを入手する必要があります。シスコまたは大半のリセラーから購入したサービス契約をお持ちのお客様は、シスコのWorldwide Webサイトからアップデートをダウンロードできます。

サービス契約を結んでいないお客様は、Cisco TACに連絡してアップグレードを入手してください。TAC の連絡先は次のとおりです。

- +1 800 553 2447（北米国内からのフリーダイヤル）

- +1 408 526 7209（全世界からの有料通話）

- 電子メール：tac@cisco.com

無料アップグレードの資格として、この通知の URL をご用意ください。契約を結んていないお客様向けの無料アップグレードは TAC 経由でご要求いただく必要があります。ソフトウェア アップグレードに関して、「psirt@cisco.com」または「security-alert@cisco.com」にお問い合せいただくことはご遠慮ください。

新しいソフトウェアインストールと同様に、アップグレードを計画しているお客様は、アップグレードを開始する前に、リリースノートやその他の関連文書を慎重に読む必要があります。また、新しいバージョンのCisco IOSソフトウェアがハードウェアでサポートされていること、特に十分なDRAMが使用可能であることを確認することが重要です。

CBAC のための長期計画

シスコでは、フラグメンテーションに関連する脆弱性を修正するために、Cisco IOSファイアウォールフィーチャセットフラグメントの処理に追加の変更を加える可能性を評価しています。これ以上の変更を行うと、比較的大きな性質を持つ可能性が高いため、リリース12.0以降のCisco IOSソフトウェアリリースに含まれる可能性があります。

CBAC のための回避策

この脆弱性に固有のCBAC回避策はありません。ただし、ダイナミックNATを使用することで、お客様のリスクを軽減できる可能性があります。また、非拡張IPアクセスリストはIPフラグメントをフィルタリングできるため、一部の設定で潜在的な攻撃を制御するのに役立つ場合があります。

ステートレスパケットフィルタ

Cisco IOSソフトウェアの従来のアクセスリストなどのステートレスIPパケットフィルタは、そのパケット内の情報のみに基づいて、特定のパケットに対するすべての転送を決定する必要があります。フィルタリングがTCPやUDPのポート番号などの基準に基づいている場合、必要な情報は通常、フラグメント化されたデータグラムの先頭フラグメント内にのみ存在します。したがって、先頭以外のフラグメントが禁止されたデータグラムの一部なのか、許可されたデータグラムの一部なのかを判断することは不可能です。したがって、このような基準を使用するステートレスパケットフィルタは、先頭以外のすべてのフラグメント、またはそのほとんどすべてを通過させる必要があります。このようなフィルタは、禁止されたデータグラムの完全な配信を防ぐために、先頭フラグメントのブロックに依存します。このため、このField Noticeで説明されているフラグメンテーションDoS攻撃に対して脆弱になります。

Cisco IOSソフトウェアの拡張アクセスリストは、TCPおよびUDPのポート番号に加え、ICMPパケットタイプに基づいてフィルタリングを行うことができるため、脆弱性のあるカテゴリに分類されます。Cisco IOSソフトウェア拡張アクセスリストは、フラグメント化されたIPデータグラムの先頭以外のフラグメントを渡します。

ポート番号などの情報を使用しないステートレスパケットフィルタは、この脆弱性の影響を受けません。このようなフィルタで使用される情報はすべて、データグラムのすべてのフラグメントに存在するためです。Cisco IOSソフトウェアのnon-extendedアクセスリストがポート番号で一致しない。したがって、先頭フラグメントだけでなく、先頭以外のフラグメントもフィルタリングできます（また、フィルタリングできます）。

フラグメンテーション攻撃に対する脆弱性は、ステートレスIPパケットフィルタリングの既知の主に内在する制限です。シスコでは、ステートレスパケットフィルタリング製品においてこの不具合を問題とはみなしておらず、これらの製品に対する即時対応は計画していません。シスコでは、将来的にステートレスフィルタリング製品のフラグメント処理を改善する可能性がありますが、フィルタリング基準にポート番号が含まれている場合、攻撃者が特定のステートレスパケットフィルタを通過するフラグメントを構築することを完全に防ぐ方法はありません。したがって、このようなフィルタを使用してフラグメンテーションベースのサービス拒否攻撃を完全に回避する方法はありません。

回避策

回避策の詳細については、「詳細」を参照してください。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

ソフトウェアバージョンと修正の詳細については、「詳細」を参照してください。

不正利用事例と公式発表

この脆弱性は、シスコおよびその他のベンダーが提供する、ステートフルおよびステートレスの両方を備えた多数のパケットフィルタリングデバイスに共通です。この脆弱性は、ルータベースのステートレスパケットフィルタリングの分野でよく知られており、ステートレスフィルタが使用されている場合に攻撃者によって悪用されることがあります。PIX FirewallやCBACなどのステートフルフィルタに対する悪用は、通常は時々発生すると予想されます。

この脆弱性はさまざまな種類のパケットフラッドによって「偶然」悪用される可能性があるため、攻撃者が意図的にこの特定の問題を標的にすることを決定した場合や、攻撃者が標的を損傷しているメカニズムを攻撃者が完全に理解していない場合に、この脆弱性が原因となって問題が発生する可能性があります。

シスコでは、この脆弱性に特有の組織的かつ体系的な不正利用は行われていないことを認識していますが、フラッディング攻撃が発生する可能性があるのは、インターネット上の一般的なイベントです。このようなフラッディング攻撃は、標的となるネットワークに対して広範な否定応答を引き起こします。この脆弱性は、それらの否定応答の1つを表しています。

この脆弱性を不正利用できるフラッディングツールが広く利用されています。この脆弱性を選択的に悪用するように設計された特殊な目的のツールは比較的まれと思われますが、シスコではそのようなツールの徹底的な検索は行っていません。このようなツールは、中程度に高度なネットワークプログラマが簡単に作成できます。

この脆弱性は、1998年8月下旬に開始されたBUGTRAQメーリングリストでCisco PIX Firewallに関する特定の説明とともに公開されています。パケットフィルタ全般に適用されるこの脆弱性については、他の公開フォーラムでも多くの議論が行われており、シスコ製品専用に適用されるこの脆弱性に関する公開フォーラムが存在する可能性があると考えられます。この脆弱性は、コンピュータセキュリティコミュニティと「クラッカー」コミュニティの両方で広く知られていると考える必要があります。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-19980910-pix-cbac-nifrag

改訂履歴

リビジョン 1.2

1998年9月11日

PIXのリリース日をもう一度修正

リビジョン 1.1

1998年9月11日

実際の初期リリースバージョン、修正済みPIXリリース日

リビジョン 1.0

1998年9月10日

最初にリリースされたバージョン

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。