severity

アドバイザリーID : cisco-sa-20020807-vpn5k-radius-pap

初公開日 : 2002-08-07 15:00

バージョン 1.0 : Final

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2002-0848

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

VPN 5000シリーズコンセントレータが、Remote Authentication Dial In User Service(RADIUS)サーバを使用してクライアント接続を認証するように設定されており、選択されているチャレンジタイプがPassword Authentication Protocol(PAP)またはChallenge（PAPのハイブリッド）である場合、最初に検証が失敗したときにRADIUSサーバに送信される検証再試行要求にはユーザパスワードフィールドが暗号化されていないため、パスワードはクリアテキストで送信されます。チャレンジハンドシェイク認証プロトコル(CHAP)を使用して認証するように設定されたVPN 5000シリーズコンセントレータは、この脆弱性の影響を受けません。

この脆弱性は、Cisco Bug ID CSCdx82483に記載されています。この脆弱性の影響を軽減するための回避策があります。

このアドバイザリは https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20020807-vpn5k-radius-pap に掲載されています。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

ソフトウェアリリース6.0.21.0002（およびそれ以前）および5.2.23.0003（およびそれ以前）を実行しているすべてのCisco VPN 5000シリーズコンセントレータハードウェアは、この脆弱性の影響を受けます。このシリーズには、モデル5001、5002、および5008が含まれます。

古いIntraPortシリーズコンセントレータハードウェアも、この脆弱性の影響を受けます。このシリーズには、IntraPort 2、IntraPort 2+、IntraPort Enterprise-2およびEnterprise-8、IntraPort Carrier-2、およびCarrier-8の各モデルが含まれます。

VPN 3000シリーズコンセントレータハードウェアは該当しません。

ソフトウェアのリビジョンを確認するには、show versionコマンドを使用して、コマンドラインインターフェイス(CLI)でリビジョンを確認します。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

ソフトウェアリリース6.0.21.0002以前および5.2.23.0003以前を実行し、PAP認証、アグレッシブモード(AM)、またはハイブリッドIKE拡張認証(XAUTH)モードを使用してクライアントを受け入れ、RADIUSサーバに対して検証するCisco VPN 5000シリーズコンセントレータハードウェアは、この脆弱性の影響を受けます。

VPN 5000シリーズコンセントレータは、3つのRADIUS通信タイプをサポートしています。[ RADIUS ]セクションキーワードChallengeTypeは、CHAP、PAP、またはChallengeのいずれかに設定できます。Challengeは、Axent Defender認証に使用される独自のタイプのPAPです。

PAPまたはChallengeが設定されている場合、リモートデバイスは名前とパスワードを含む認証要求をVPN 5000シリーズコンセントレータに送信します。VPN 5000シリーズコンセントレータは、内部データベースまたはRADIUSサーバのいずれかを使用して要求を検証し、認証の成功または失敗パケットを返します。

RADIUSサーバが使用されている場合は、Access-RequestがRADIUSサーバに送信され、ユーザパスワードはRFCで指定されているように暗号化されます。ネットワークまたは設定の問題により、Access-Acceptパケットが特定の時間内に返されない場合、コンセントレータは再試行パケットを送信しますが、この再試行パケットではユーザパスワードがクリアテキストで送信されます。

この脆弱性は、Cisco Bug ID CSCdx82483（登録ユーザ専用）として文書化されています。この脆弱性を表示するにはCCOアカウントが必要で、2002年8月8日の1500 UTC以降に表示できます。

回避策

回避策の1つは、[ RADIUS ]セクションでChallengeType = CHAPを設定して、認証にCHAPのみを使用することです。

認証にPAPを使用する必要がある場合は、設定のRadiusセクションでPrimRetriesキーワードを値1に設定できます。これにより、再試行が無効になります。また、2番目の（バックアップ）RADIUSサーバがSecAddressで定義されている場合は、セカンダリRADIUSサーバへの最初の試行にパスワードが含まれるため、削除する必要があります。

完全な修正を行うには、修正されたソフトウェアバージョンのコードにアップグレードしてください。

修正済みソフトウェア

この脆弱性は、ソフトウェアリリース6.0.21.0003（以降）および5.2.23.0004（以降）で修正されています。

修正されたソフトウェアバージョンにアップグレードする手順については、http://www.cisco.com/univercd/cc/td/doc/product/aggr/vpn5000/5000sw/conce60x/5000cfg/swinst.htmを参照してください。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、お客様からPSIRTに報告されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20020807-vpn5k-radius-pap

改訂履歴

リビジョン 1.0

2000年8月7日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。