日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
zlib圧縮ライブラリに脆弱性があります。このコードは複数のアプリケーションで使用されます。脆弱性の影響を受けるシスコ製品は確認されていませんが、脆弱性のあるサードパーティモジュールを使用している製品や、脆弱性のあるオペレーティングシステムで実行されている製品がいくつかあります。この脆弱性は一般に公開されています。
Cisco PSIRTでは、この脆弱性の影響を受ける製品を評価中です。
この脆弱性に対する回避策はありません。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20020403-zlib-double-freeで確認できます。
該当製品
このセクションには、該当製品に関する詳細が掲載されています。
脆弱性のある製品
次の製品が影響を受けます。
キャッシュソフトウェア/ACNS
-
Cache Software 3.1.1またはApplication and Content Networking Software 4.0.xまたは4.1.1を実行しているContent Engine 507、560、590、および7320
-
Application and Content Networking Software(ACNS)4.0.xまたは4.1.1を実行しているContent Router 4430およびContent Distribution Manager 4630および4650
ME1100
この製品は2001年にサポート終了となっています。この製品のサポートは終了しているため、最新の製品に移行することを強くお勧めします。
Cisco侵入検知システム
Cisco IDSセンサーアプライアンス（製品番号IDS-4210、IDS-4220-E、およびIDS-4230-xx）は、nrversから報告されたセンサーのバージョンが3.0(1) ～ 3.0(5)の範囲にある場合に脆弱です。C6000 IDSM（製品番号WS-X6381-IDS）には脆弱性はありません。
メトロ1500 DWDM
ソフトウェアリリース3.3bより前のすべてのリリースが影響を受けます。
Hosting Solution Engine(HSE)
HSEリリース1.0および1.3には脆弱性が存在します。
シスコでは、この脆弱性に対するシスコ製品の他の部分の評価を行っています。
以下の製品には脆弱性が存在しないか、または脆弱性が無視できる可能性があることを確認しました。これは完全なリストではないことに注意してください。
-
Cisco IOS®
-
Cisco CatOS
-
Cisco SN 5420ストレージルータ
-
PIX ファイアウォール
-
VPN 3000、3500
-
User Registration Tool（URT）
Cisco IOSなどの一部の製品では、圧縮イメージが使用されます。この攻撃ベクトルを利用するには、攻撃者は改ざんされた配布イメージを準備し、それをデバイスにロードする必要があります。これは、デバイスへの物理アクセスまたは管理アクセスを意味します。このようなアクセス権を持つことで、攻撃者は他の多くの攻撃を実行できる立場にあり、その中には実行が非常に簡単なものもあります。シスコでは、このカテゴリに属する製品の後続のソフトウェアリリースにzlibの修正済みバージョンを組み込むが、その事実はこのアドバイザリには反映されない。
脆弱性を含んでいないことが確認された製品
他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。
詳細
よく使われているzlib圧縮ライブラリで使われている解凍アルゴリズムにバグがあります。攻撃者は、無効な圧縮データのブロックを巧妙に細工して送信することで、アプリケーションの内部データを破損させる可能性があります。これは、アプリケーションがデータを解凍しようとしたときに発生します。
ほとんどの場合、この脆弱性はサービス拒否を引き起こします。ただし、適切な状況とアプリケーションによっては、攻撃者が任意のコードを実行する可能性があります。このコードは、対象のアプリケーションの権限を使用して実行されます。
回避策
この脆弱性に対する回避策はありません。
修正済みソフトウェア
アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。
キャッシュソフトウェア/ACNS
ACNS 4.1.3は修正済みリリースです。2002年4月下半期に利用可能になる予定です。
ME1100
この製品はサポート終了状態に達しているため、修正のスケジュールは設定されていません。最新の製品に移行することを強くお勧めします。
Cisco侵入検知システム
センサーアプライアンスソフトウェアバージョン3.1(2)S23が最初の修正済みリリースです。2002年5月17日から利用可能です。
メトロ1500 DWDM
ソフトウェアリリース3.3bは最初の修正済みリリースです。2002年4月5日から利用可能です。
ホスティングソリューションエンジン
HSEリリース1.4にはこの修正が含まれています。2002年4月15日から利用可能です。
推奨事項
不正利用事例と公式発表
この脆弱性は、2002年3月21日に第三者によって公開されました。関連するアドバイザリは次のリンクに掲載されています。
URL
改訂履歴
|
リビジョン 1.1 |
2002年5月22日 |
Modified Software Versions and Fixesセクション |
|
リビジョン 1.0 |
2002年4月3日 |
初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。