severity

アドバイザリーID : cisco-sa-20010906-intrusion-detection

初公開日 : 2001-09-06 00:00

バージョン 1.5 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Intrusion Detection System（IDS；侵入検知システム）は、ネットワークトラフィックを検査して、疑わしいパケット形式や悪意のあるパケット形式、データペイロード、トラフィックパターンがないか確認します。侵入検知システムは通常、不明化防御を実装します。これにより、疑わしいパケットをUTFまたは16進数のエンコードで簡単に偽装できず、侵入検知システムをバイパスできます。最近、CodeRedワームは、多くのMicroSoft IISシステムに対するパッチ未適用の脆弱性を標的とし、MicroSoft IISシステムでサポートされている別の符号化技術も強調しています。侵入検知システムを回避するために、%uと呼ばれるこの符号化技術を使用できます。この技術は、eEye securityによってhttp://www.eeye.com/html/Research/Advisories/AD20010705.htmlに掲載されたアナウンスで公開されています。

シスコは、Cisco Secure Intrusion Detection System（IDS；侵入検知システム）の脆弱性を修正しました。以前はNetrangerと呼ばれていましたが、現在はサービスパックが提供されています。この脆弱性は、Cisco Catalyst 6000 Intrusion Detection System Moduleにも影響を与え、2002年5月にリリースされたリリース3.0(4)S20で修復されます。シスコでは、この問題の回避策を提供しています。この回避策は、このアドバイザリの「回避策」セクションに記載されています。

完全な通知は、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20010906-intrusion-detectionで入手できます。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

次の製品が該当します。

- Cisco Secure Intrusion Detection System（旧称NetRanger、センサーコンポーネント）

- Cisco Catalyst 6000侵入検知システムモジュール

また、NBARやCisco Cache Engineを使用したCodeRedワームの悪用のフィルタリングなどの特定の回避策では、すべての可能性について具体的に設定されていない限り、%uエンコーディング攻撃の難読化は検出されません。

脆弱性を含んでいないことが確認された製品

UnixおよびNTプラットフォームの両方のCisco Secure Intrusion Detection System DirectorはIDSの管理コンポーネントであり、パケット難読化の検出には関与しないため、この脆弱性の影響を受けません。

次の製品は、侵入検出攻撃シグニチャの一部を実装しています。また、含まれているシグニチャはMicroSoft IISのターゲット攻撃を検出しないため、攻撃を隠蔽する%uエンコーディング方式に対して脆弱ではありません。

- Cisco Secure PIX Firewall

- 侵入検知を備えたCisco IOSファイアウォール機能セット

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

「CodeRed」ワームは、ワームのペイロードを配信するために、あいまいなUnicode符号化技術を使用しました。%uエンコード方式は、IIS Webサーバーによって認識および解析される別のエンコード方式です。このエンコーディングをurlの他の部分に適用して、攻撃を効果的に難読化し、利用可能な多くの侵入検知システムによる検知を防ぐことができます。Cisco Secure Intrusion Detection System(IDS)Sensorのデコードアルゴリズムは、このUnicode形式を検出および解析するように変更されています。Cisco Catalyst 6000 Intrusion Detection Systems（IDS；侵入検知システム）モジュールでは、このNoticeの最初の掲載時には難読化の検出が実装されていませんでしたが、2002年5月の時点でこの機能が組み込まれています。

この脆弱性は、Cisco Bug ID CSCdv20287に記載されています。この脆弱性は、Mitre CVEでもCAN-2001-0669としてリストされています。

回避策

この問題の回避策は、Cisco Secure Intrusion Detection System SensorとCatalyst 6000 Intrusion Detection System Moduleの両方に存在します。

%u unicode難読化の脆弱性に対処するために、カスタム文字列マッチシグニチャを定義できます。

このカスタム文字列照合は、Unicode難読化の使用を検出します。ユニコード文字列の正当な使用が存在する可能性がありますが、我々が知らない限り脅威ではありません。そのため、このシグニチャは正当なトラフィックパターンで警告する可能性があります。このシグニチャには、関連するアラームを注意深く監視する必要があります。

Signature 1

******************************************

Unicode Obfuscation String:

"[%][uU][0-9a-FA-F][0-9a-fA-F][0-9a-fA-F][0-9a-fA-F]"

Occurrences:

1

Port:

80

If you have Web servers listening on other TCP ports (for example, 8080), you will

need to create a separate custom string match for each port number.

Recommended Alarm Severity Level:

High (CSPM)

5 (Unix Director)

Direction:

TO

***************************************************************

カスタムストリングマッチ機能の詳細については、http://www.cisco.com/univercd/cc/td/doc/product/iaabu/csids/csids5/csidscog/で入手できるドキュメントを参照してください。

修正済みソフトウェア

この脆弱性は、Cisco Secure Intrusion Detection System(IDS)SensorのService Pack 3.0(2)S6で修復されており、今後すべてのバージョンに含まれる予定です。

この脆弱性は、Cisco Catalyst 6000 Intrusion Detection ModuleのService Pack 3.0で修復されます。基本的な難読化の検出は、当初は3.0リリースで予定されていましたが、2001年10月上旬に利用可能になる予定です。3.0リリースのサービスパックには、この追加の難読化方式が含まれますが、2001年10月のリリース以降は使用できなくなります。このService Packリリースは3.0(4)S20で、2002年5月現在で利用可能です。

不正利用事例と公式発表

この脆弱性はeEyeセキュリティチームによって発表され、http://www.eeye.com/html/Research/Advisories/AD20010705.htmlにあるeEyeセキュリティサイトで公開されています。

シスコでは、この不明化手法の悪用に関する知識はありません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20010906-intrusion-detection

改訂履歴

Revision 1.5

2003年1月24日

「ソフトウェアバージョンと修正」セクションからベータコードの情報と場所を削除。

リビジョン 1.4

2002年9月27日

このNoticeの要約、詳細、ソフトウェアバージョンと修正、およびステータスを更新。

リビジョン 1.3

2001年10月17日

ソフトウェアバージョンと修正の詳細、および本通知のステータスを更新。

リビジョン 1.2

2001年9月27日

修正済みソフトウェアの入手手順の詳細を更新。

リビジョン 1.1

2001年9月14日

修正済みソフトウェアを入手するための回避策と手順の詳細を更新。

リビジョン 1.0

2001年9月5日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。