severity

アドバイザリーID : cisco-sa-20021219-ssh-packet

初公開日 : 2002-12-19 23:00

バージョン 1.7 : Final

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2002-1359

CVE-2002-1360

CVE-2002-1357

CVE-2002-1358

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Secure Shell(SSH)サーバのサポートを含む特定のシスコ製品は、SSHサーバがデバイスで有効になっている場合、サービス拒否(DoS)の脆弱性を受けます。該当するデバイスに向けられた不正なSSHパケットにより、デバイスのリロードが引き起こされる可能性があります。該当するデバイスがパケットを受信するのに認証は必要ありません。Cisco IOSÂ®のSSHサーバは、デフォルトでは無効になっています。

シスコは、問題を修正するための無償ソフトウェアをできる限り早急に提供する予定です。

不正な形式のパケットは、Rapid7, Inc.のSSHredderテストスイートを使用して生成できます。回避策を利用できます。Cisco PSIRTでは、この脆弱性が悪用された事例は確認されていません。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20021219-ssh-packetで入手できます。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

SSHサーバのサポートを含む複数のシスコ製品は、SSHサーバが有効になっている場合に脆弱性が存在します。

脆弱性が存在するシスコ製品には次のものがあります。

- 下記の「ソフトウェアバージョンと修正」セクションに記載されている、該当するCisco IOSバージョンが稼働するCiscoルータおよびCatalystスイッチ

- Cisco WebNS 5.10、5.20、または7.10を実行するCiscoコンテンツサービススイッチモデルCSS11501、CSS11503、およびCSS11506

- 12.00Tまたは12.01Tを実行しているCisco Aironet 1200シリーズアクセスポイント

- 12.00Tまたは12.01Tを実行しているCisco Aironet 350シリーズアクセスポイント

- 12.00Tまたは12.01Tを実行しているCisco Aironet 340シリーズアクセスポイント

- 12.00Tまたは12.01Tを実行するCisco Aironet 350シリーズワイヤレスブリッジ

- Cisco PIX ファイアウォール

- Cisco ONS製品：ONS15454、ONS15327、およびONS15600

- Cisco Catalyst 6500スイッチおよびCisco 7600シリーズルータ用ファイアウォールサービスモジュール(FWSM)

脆弱性を含んでいないことが確認された製品

脆弱性が確認されていないSSHサーバ機能を含むシスコ製品には、次のものがあります。

- Cisco CatOSが稼働するCisco Catalystスイッチ

- Cisco VPN3000シリーズコンセントレータ

- Cisco Secure Intrusion Detection System(NetRanger)アプライアンス

- Cisco Secure Intrusion Detection System(IDS)Catalystモジュール

- Cisco SN5400シリーズストレージルータ

- CiscoWorks 1105 Wireless LAN Solution Engine(WLSE)

- CiscoWorks 1105 Hosting Solution Engine(HSE)

- Cisco ONS製品：ONS15310

- Cisco ONS製品：ONS15530、ONS15540

詳細

Secure Shell(SSH)プロトコルの実装をテストするために、巧妙に細工されたパケットのスイートが開発されました。SSHサーバが有効になっている場合、いくつかのテストケースでは、認証プロセスが呼び出される前にデバイスが強制的にリロードされます。巧妙に細工されたパケットの1つを使用して該当するシスコデバイスにSSH接続が試行されるたびに、デバイスがハングまたはリブートする可能性があります。

Cisco IOS ソフトウェア

SSHサーバ機能は、Cisco IOSリリースの12.0S、12.0ST、12.1T、12.1E、12.2、12.2T、12.2Sで使用できます。SSHサーバ機能を持つすべてのリリースは、コンフィギュレーションモードでコマンドcrypto key generate rsaを発行してSSHサーバを有効にすると脆弱になります。

Cisco 3550を除き、脆弱性のあるバージョンのCisco IOSを実行しているすべての製品では、クラッシュ後に自動的にリロードが行われ、サービスが再開されます。Cisco 3550はリロードしないため、通常の処理を再開するには手動による介入が必要です。

複数のCisco IOS不具合が検出されました。これらは、CSCdz60229、CSCdy87221、およびCSCdu75477で文書化されています。

Ciscoコンテンツスイッチングソフトウェア

脆弱性のあるバージョンのCisco WebNSソフトウェアを実行しているCisco Content Services Switch（CSS；コンテントサービススイッチ）では、サービスのリロードと再開が行われます。

このCisco不具合は、DDTS CSCdz62330で文書化されています。

Cisco Aironetソフトウェア

SSHサーバ機能は、Aironetソフトウェアのバージョン12.00Tの機能として導入されました。脆弱性が存在するのは、バージョン12.00Tと12.01Tだけです。これらの脆弱性のあるバージョンのCisco Aironetソフトウェアを実行しているCisco Aironetアクセスポイントデバイスでは、サービスのリロードと再開が行われます。

このCisco不具合は、DDTS CSCdz66748で文書化されています。

Cisco PIX ファイアウォール

不正なSSHパケットが原因で、PIXがリロードする場合があります。状況によっては、CiscoWorks 2000を使用してSSH経由でPIXを監視すると、PIXのリロードが発生する場合があります。

このCisco不具合は、DDTS CSCdz07673で文書化されています

Cisco ONS製品

不正なSSHパケットが原因で、ONS製品がリロードされる場合があります。SSHサーバ機能は、ONSシステムソフトウェアのバージョン4.6.0の機能として導入されました。バージョン4.6.0、4.6.1、および4.7.0には脆弱性が存在します。

このCisco不具合は、DDTS CSCed38362で文書化されています。

Cisco Firewall Services Module（FWSM）

不正なSSHパケットが原因で、FWSMがリロードされる場合があります。状況によっては、CiscoWorks 2000を使用してSSH経由でFWSMを監視すると、FWSMのリロードが発生する場合もあります。

このCisco不具合は、DDTS CSCeb16775で文書化されています。

回避策

Cisco IOS ソフトウェア

回避策は、SSHサーバーを無効にする、リモートアクセス方式としてSSHを削除する、信頼できるホストだけにサーバーへの接続を許可する、外部メカニズムを介してデバイスへのSSHトラフィックを完全にブロックするなどです。

注意：  次の回避策は、デバイス認証にRSAキーペアを使用するデバイスで終端するIPSECセッション、またはこれらのRSAキーペアに基づく証明書を使用するIPSECセッションに望ましくない副作用を引き起こします。他の認証方式を使用するIPSECセッションは影響を受けません。

Cisco IOSでは、コンフィギュレーションモードでコマンドcrypto key zeroize rsaを適用することで、SSHサーバを無効にできます。SSHサーバは、RSAキーペアの生成時に自動的に有効になります。SSHサーバを完全に無効にする唯一の方法は、RSAキーをゼロにすることです。

Cisco IOS上のSSHサーバへのアクセスも、有効なトランスポートプロトコルとしてSSHを削除することで無効にできます。これは、コンフィギュレーションモードでVTY回線上の許可されたトランスポートのリストから「ssh」を削除した状態でtransport inputコマンドを再適用することで実行できます。以下に、いくつかの例を示します。

line vty 0 4

transport input telnet

end

SSHサーバ機能が必要な場合、次のURLに示すように、VTY回線でアクセスコントロールリスト(ACL)を使用して、サーバへのアクセスを特定の送信元IPアドレスに制限するか、または完全にブロックすることができます。

/en/US/products/hw/switches/ps628/products_configuration_guide_chapter09186a00800d84c8.html#xtocid14

ACLの設定の詳細については、シスコのパブリックWebサイトを参照してください。

http://www.cisco.com/warp/public/707/confaccesslists.html

VTYアクセスリストの例を次に示します。

access-list 2 permit 10.1.1.0 0.0.0.255

access-list 2 deny any

line vty 0 4

access-class 2 in

end

Cisco Aironetソフトウェア

Cisco Aironetアクセスポイントは、アクセスポイントに対する攻撃を軽減するために使用できるIPポートフィルタ機能を提供します。IPポートフィルタの設定の詳細については、『アクセスポイント設定ガイド』を参照してください。

http://www.cisco.com/univercd/cc/td/doc/product/wireless/airo_350/accsspts/ap350scg/ap350ch5.htm

また、ファイアウォールやTCPポート22へのトラフィックをブロックするルータなどの外部パケットフィルタリングデバイスを使用して、デバイスの着信SSH接続をブロックすることもできます。

Cisco PIX ファイアウォール

PIX SSHインターフェイスへのアクセスを制限して、信頼できるホストからの接続のみを許可するか、代わりにHTTPSを使用します。CiscoWorksにTelnetを使用してPIXにアクセスさせ、PIX Telnetインターフェイスへのアクセスを制限して、CiscoWorksワークステーションからの接続のみを許可させます。

Cisco ONS製品

TCPポート22へのトラフィックをブロックするファイアウォールやルータなどの外部パケットフィルタリングデバイスを使用して、ノードの着信SSH接続をブロックします。

Cisco Firewall Services Module（FWSM）

FWSM SSHインターフェイスへのアクセスを制限して、信頼できるホストからの接続のみを許可するか、代わりにHTTPSを使用します。CiscoWorksにTelnetを使用してPIXにアクセスさせ、PIX Telnetインターフェイスへのアクセスを制限して、CiscoWorksワークステーションからの接続のみを許可させます。

修正済みソフトウェア

Cisco IOS ソフトウェア

SSHサーバ機能は、Cisco IOSリリース12.0(5)S、12.0(16)ST、12.1(1)T、12.1(5a)E、12.2(1)、12.2(1)T、12.2(1)S以降で使用できます。SSH機能が有効になっている場合、これらのバージョンはすべて脆弱です。

Cisco IOS ソフトウェアの表（下掲）の各行には、リリース トレインとそれに対応するプラットフォームまたは製品が記載されています。特定のリリーストレインに脆弱性が存在する場合、修正を含む最初のリリース（「最初の修正リリース」）とそれぞれのリリースのリリース予定日が「再構築」、「暫定」、および「メンテナンス」の各列に表示されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。このようなリリースは、少なくとも、示されているリリース以上（最初の修正リリース ラベル以上）にアップグレードしてする必要があります。リリースを選択するときは、次の定義を念頭においてください。

メンテナンス

表の特定の行で最も頻繁にテストされ、安定した、強く推奨されるリリース群。

リビルド

同じトレインの以前のメンテナンスまたはメジャーリリースから構成され、特定の不具合の修正が含まれます。テストは十分ではありませんが、脆弱性を修正するために必要な最小限の変更だけが含まれています。

Interim

メンテナンスリリース間の定期的な間隔で構築され、受け取るテストが少なくなります。暫定は、脆弱性に対応しているリリースが他にない場合にだけ選択してください。暫定イメージは、次のメンテナンス リリースが利用可能になった後、すぐにアップグレードする必要があります。暫定リリースは製造段階では入手できず、通常はCisco TACとの事前の取り決めがない限り、Cisco.comからダウンロードできません。

すべての場合において、アップグレードするデバイスに十分なメモリが実装されており、現在のハードウェアおよびソフトウェアの構成が新しいソフトウェア リリースでも適切にサポートされていることを確認する必要があります。情報が明確でない場合は、Cisco TACに連絡して、下記の「修正済みソフトウェアの入手」セクションに示されているサポートを依頼してください。

Cisco IOS ソフトウェアのリリース名および省略形の詳細は、http://www.cisco.com/warp/public/620/1.html620 を参照してください。

修正は、http://www.cisco.com/tacpage/sw-center/ の Software Center から入手できます。

ソフトウェアのインストールおよびアップグレード手順については、http://www.cisco.com/warp/public/130/upgrade_index.shtmlを参照してください。

Cisco IOSのすべての投稿イメージと修復イメージの現在のビューについては、次のURLで登録済みCCOユーザが使用できるリストを確認してください。

トレーニングまたはリリース

説明またはプラットフォーム

最初の修正済みリリースの提供状況*

12.0 リリース

リビルド

暫定

メンテナンス

12.0S

コア/ISPサポート：GSR、RSP、c7200

12.0(21)S6

2003年1月27日

12.0(22)S4

2003年3月

12.0(23)S2

2003年2月17日

12.0ST

Early Deploymentリリース

12.0(20)ST7

2003年1月27日

12.0(21)ST6

2003年2月3日

12.1 リリース

リビルド

暫定

メンテナンス

12.1E

Early Deploymentリリース

12.1(13)E3

CCO上

12.1(14)E1

2003年2月

12.1EA

Early Deploymentリリース

12.1(13) EA1

2003年3月

12.1T

Early Deploymentリリースのすべての主要プラットフォーム

脆弱

計画外

12.2 リリース

リビルド

暫定

メンテナンス

12.2

すべてのプラットフォームのメジャーリリース

12.2(12b)

CCO上

12.2(13a)

2003年2月7日

12.2S

コアISPサポート

12.2(14)S

2003年1月27日

12.2T

早期導入ですべての主要プラットフォームをリリース

12.2(11)T3

CCO上

12.2(13)T1

2003年2月3日

*すべての日付は暫定的なものであり、変更される可能性があります。

**暫定リリースは、メンテナンスリリースやリビルドリリースよりもテスト対象が少なくなります。暫定リリースのラベルは、脆弱性のある既存の暫定リリースを識別するために提供されます。最初の修正済み暫定リリースは、他の適切なリリースが利用できない場合にのみ使用してください。

Ciscoコンテンツスイッチングソフトウェア

この脆弱性はCisco WebNSソフトウェアで修正されており、現在のスケジュールに従って、2003年1月にダウンロード可能になります。5.20.0.06sおよび7.10.0.06sの暫定ソフトウェアリリースがダウンロード可能です。

Cisco Aironetソフトウェア

この脆弱性は、Cisco Aironetソフトウェアリビルドバージョン12.01T1で修正されています。このソフトウェアは2003年1月下旬に入手可能になる予定であり、Software Centerからダウンロードできます。

Cisco PIX ファイアウォール

この脆弱性は、ソフトウェアバージョン6.0(4.101)、6.1(5)、6.2(3)、および6.3(1)で修正されています。

Cisco ONS製品

この脆弱性は、ソフトウェアバージョン4.6.2、5.0.0以降のリリースで修正されています。

Cisco Firewall Services Module（FWSM）

この脆弱性は、ソフトウェアバージョン2.2(1)で最初に修正されています。

不正利用事例と公式発表

Cisco PSIRTでは、この脆弱性が悪用された事例は確認されていません。このRapid7, Inc.からの巧妙に細工されたパケットのスイートは、CERT/CCアドバイザリCA-2002-36を通じて正式に発表され、研究者のWebサイトから入手可能です。シスコは当初、スイートの初期テストに基づき、CERT/CCアドバイザリに「脆弱性なし」と記載されましたが、社内テストを継続した結果、一部の製品に脆弱性が存在することが判明しました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20021219-ssh-packet

改訂履歴

リビジョン番号1.7

2005年10月19日

「該当製品」、「詳細」、「ソフトウェアバージョンと修正」、「回避策」の各セクションにCisco Firewall Services Module(FWSM)を追加。

リビジョン番号1.6

2005年10月12日

「該当製品」、「詳細」、「ソフトウェアバージョンと修正」、「回避策」の各セクションにCisco ONS製品のリファレンスを追加。

リビジョン番号1.5

2003年10月28日

ソフトウェアリリース12.1EAのエントリを更新

リビジョン番号1.4

2003年10月13日

Cisco PIX Firewallのステータスを修正 – 影響を受けるものに変更。

リビジョン番号1.3

2003年1月24日

Aironetデバイスの修正済みソフトウェアを更新し、ステータスをFinalに変更

リビジョン番号1.2

2003年1月16日

該当製品と修正済みソフトウェアのリストを更新し、コンテンツサービススイッチとワイヤレスアクセスポイントを追加

リビジョン番号1.1

2002年12月20日

該当製品のリストを更新し、HSEとWLSEを追加

リビジョン番号1.0

2002年12月19日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。