日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco IOS®ソフトウェアのエラーにより、信頼されていない未認証のユーザが、ルータまたはその他のCisco IOSデバイスのログインプロンプトに何らかの方法でアクセスし、デバイスの以前のインタラクティブユーザが入力したテキストのフラグメントを取得することができます。このテキストには、パスワードなどの機密情報が含まれている可能性があります。この脆弱性は、IOSデバイス自体によって発行されたプロンプトで入力されたテキストのみを公開します。IOSデバイスによって転送されたデータパケットの内容は公開されず、IOSデバイスから他のネットワークノードへの発信インタラクティブ接続（TELNET接続など）の一部として入力されたデータも公開されません。
これは、従来のCisco IOSソフトウェアを実行しているデバイスにのみ適用されます。これには、シスコのルータ製品のほとんどが含まれますが、すべてではありません。デバイスが従来のCisco IOSソフトウェアを実行しているかどうかを確認する最も簡単な方法は、次の「影響を受けるユーザ」で詳しく説明されているshow versionコマンドを使用することです。
不正利用される可能性のある条件は類似していますが、この脆弱性は1998年8月に発表されたリモートクラッシュの脆弱性とは関係ありません。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-19981014-ios-hist で公開されています。
該当製品
このセクションには、該当製品に関する詳細が掲載されています。
脆弱性のある製品
従来のCisco IOSソフトウェアバージョン9.1以降を使用していて、この通知の「詳細」セクションに記載されている修復バージョンより前の、信頼できないユーザがデバイスをインタラクティブに接続できるユーザは、この脆弱性の影響を受けます。この通知が行われた時点で、修復済みバージョンはすべて最新であり、ほとんどのシスコユーザがそれらをインストールしているとは考えられません。この脆弱性は、現時点でCisco IOSソフトウェアを実行しているほとんどのシステムに影響を与えます。
この脆弱性は、直接コンソールまたは非同期シリアル接続（ダイヤルアップ接続を含む）、TELNET接続、UNIX「r」コマンド接続、LAT(Local-Area Transport)接続、MOP(Maintenance Operation Protocol)接続、X.29接続、V.120接続などを使用して不正利用される可能性があります。例外的なセキュリティ環境を除き、悪意のあるユーザがCisco IOSデバイスにインタラクティブな接続を行う方法を見つけることができると想定することを強くお勧めします。この脆弱性を悪用するために実際にログインする必要はありません。端末接続を確立するだけで十分です。
すべてのシスコ製品をこのNoticeに記載することは不可能です。下記のリストには、最も一般的に使用されている製品や最も質問されている製品のみが記載されています。
使用しているデバイスが従来のCisco IOSソフトウェアを実行しているかどうかわからない場合は、デバイスにログインしてshow versionコマンドを発行します。従来のCisco IOSソフトウェアは、単に「IOS」または「Internetwork Operating System Software」と表示されます。他のシスコデバイスには、show versionコマンドがないか、異なる出力が返されます。
従来のCisco IOSソフトウェアが稼働するシスコデバイスには、次のものがあります。
-
AGS/MGS/CGS/AGS+、IGS、RSM、8xx、1xxx、25xx、26xx、30xx、36xx、40xx、45xx、47xx、AS52xx、AS53xx、70xx、72xx（ubr72xxを含む）、75xx、12xxxシリーズのCiscoルータ
-
LS1010 ATMスイッチの最新バージョン
-
Catalyst 2900XL LANスイッチの一部のバージョン
-
Cisco DistributedDirector
脆弱性を含んでいないことが確認された製品
従来のCisco IOSソフトウェアを実行していない場合は、この脆弱性の影響を受けません。従来のCisco IOSソフトウェアを実行せず、この脆弱性の影響を受けないシスコデバイスには、次のものがあります。
-
7xxダイヤルアップルータ（750、760、および770シリーズ）は該当しません。
-
Catalyst 19xx、28xx、29xx、3xxx、および5xxx LANスイッチは、Catalyst 2900XLの一部のバージョンを除き、この問題には該当しません。ただし、Catalyst 5000および5500のRSMモジュールなど、スイッチバックプレーンでCisco IOSソフトウェアが稼働しているオプションのルータモジュールはこの脆弱性の影響を受けます。
-
IGXおよびBPXラインのWANスイッチング製品は該当しません。
-
MGX（以前のAXISシェルフ）は該当しません。
-
ホストベースのソフトウェアは影響を受けません。
-
Cisco PIX Firewallは影響を受けません。
-
Cisco LocalDirectorは影響を受けません。
-
Cisco Cache Engineは影響を受けません。
他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。
詳細
登録CCOユーザであり、ログインしている場合は、これらのバグの詳細を表示できます。
-
CSCdk43920の表示
回避策
この脆弱性には、主に次の2つの回避策があります。
-
信頼できないユーザがCisco IOSデバイスにインタラクティブにアクセスできないようにします。IPベースのインタラクティブアクセスだけが問題になる場合は、ip access-class回線設定コマンドを使用して、システム内のすべての仮想端末にアクセスリストを適用することで、アクセスを制限できます。ただし、Cisco IOSデバイスへのインタラクティブな接続を行う非IPベースの手段は存在することを覚えておき、攻撃の可能なルートとしてこれらの手段を排除することが重要です。transport inputコマンドは、インタラクティブアクセスの取得に使用できるプロトコルを制御する場合に特に便利です。インタラクティブアクセスを完全に防止するには、設定コマンドno execを任意の非同期回線に適用するか、コマンドtransport input noneを任意の仮想端末回線に適用します。仮想端末回線は、信頼できないユーザがアクセスできる可能性があります。
-
IOSデバイスのインタラクティブセッションからログアウトする前に、機密性の高い可能性のある情報を上書きします。これを行うには、IOSコマンドプロンプトでスペースを繰り返し入力し、コマンドインタープリタが行でこれ以上の入力を受け付けないようにしてから、returnキーを押します。これに従って、「q」などの印刷文字を繰り返し入力し、入力が受け付けられなくなるまで入力し、Ctrl+A、Ctrl+Kの順に押して、もう一度「return」を押します。この手順により、情報漏えいの可能性は大幅に低減されますが、該当するすべてのバージョンのCisco IOSソフトウェアでその可能性を完全に排除することは確認されていません。
シスコでは、これらの回避策のいずれかを使用するよりも、アップグレードされたソフトウェアをインストールすることを推奨しています。最初の回避策は、任意のCisco IOSデバイスの通常のセキュリティ設定の一部である必要がありますが、システム管理に一部のインタラクティブアクセスを利用できる必要があるため、通常は発生する可能性のあるリスクをすべて排除するためには使用できません。2つ目の回避策は人為的なミスを起こしやすく、攻撃者が機密情報を見つける可能性を大幅に減らしますが、その可能性を完全に排除するわけではありません。
修正済みソフトウェア
この脆弱性は、9.1から次の修正済みリリースを除く、スペシャル、暫定、ベータソフトウェアを含むクラシックCisco IOSソフトウェアのすべてのリリースに影響します。
|
最も古い定期リリース |
最早暫定リリース |
|---|---|
|
11.0(22) |
11.0（21.2） |
|
11.1(22)、11.1(22)CA、11.1(21)CC1、11.1(22)CE |
11.1(22)、11.1(21.2)CA、11.1(21)CC1、11.1(21.1)CE |
|
11.2(16)、11.2(16)P、11.2(16)BC、11.2(8)SA4 |
11.2(15.4)、11.2(15.4)P、11.2(15.4)BC、11.2(8)SA4 |
|
11.3(6)、11.3(6)T、11.3(6)AA、11.3(1)MA6、11.3(6)NA、11.3(9)WA4 |
11.3(5.6)、11.3(5.6)T、11.3(5.6)AA、11.3(1)MA54、11.3(5.6)NA |
|
12.0(1)、12.0(1)T、12.0(1)S、その他12.0 |
最初の12.0(1)xリリースに統合される予定 |
上記の特定のバージョンを実行する必要はありません。この修正は、同じリリースの後続のすべてのバージョンにも存在します。たとえば、11.2(16)Pは固定されているため、11.2(17)Pも固定されます。
この修正は、この通知の日付の時点ですべての通常のリリースで利用可能です。ただし、すべての「2文字」初期配備ソフトウェアに対する修正はまだリリースされていません。未リリースの「2文字」バージョンについては、統合が進行中です。
Cisco IOSソフトウェアの一部のリリースが廃止されたか、メンテナンスが終了しています。これらのリリースのユーザのアップグレードパスは次のとおりです。
|
廃止されたリリース |
アップグレード先 |
|---|---|
|
1.x ～ 8.x、9.1、9.14、9.17、9.21、10.1、10.2、10.3（すべてのバリアント） |
11.0（特にハードウェアの互換性を確認するように注意してください） |
|
11.0BT |
11.1 |
|
11.1AA |
11.2(16)P |
|
11.2(4)XA、11.2(9)XA |
11.2(16)P |
|
11.3(2)XA |
11.3(3) |
|
11.2F |
11.3(6) |
推奨事項
不正利用事例と公式発表
シスコは、この通知の日付より前に、この脆弱性の詳細に関する公式発表や議論を行うことはできません。10月5日の週に特定のシスコのお客様に対して不注意による事前通知が行われましたが、これらの顧客に提供された唯一の情報は、Bug IDと「Security Problem」というバグヘッドラインでした。つまり、あるバージョンのCisco IOSソフトウェアにセキュリティ上の問題が存在すると通知されましたが、詳細はまったく通知されませんでした。同じお客様に対する後のメッセージで、脆弱性が信頼できるお客様によって発見されたこと、シスコが脆弱性のエクスプロイト方法を知らなかったこと、および正式な通知が予定されていることを伝えました。Cisco IOSソフトウェアの特定の部分に脆弱性をローカライズするために使用できる情報や、詳細の検索に役立つ可能性がある他の情報が含まれないように、細心の注意が払われました。
シスコでは、この脆弱性の悪意のあるエクスプロイトは確認していません。この脆弱性は、シスコのお客様によるラボテストで発見されました。
URL
改訂履歴
|
リビジョン 1.0 |
1998年10月14日 |
初版リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。