severity

アドバイザリーID : cisco-sa-20030430-dns

初公開日 : 2003-04-30 08:00

バージョン 1.2 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Ciscoコンテンツサービススイッチ(CSS)11000および11500シリーズスイッチは、エラーコードとStart of Authority(SOA)レコードがない状態で、特定のDomain Name Service（DNS；ドメインネームサービス）ネームサーバレコード要求に応答します。DNSネームサーバによっては、このレコードが負のキャッシュに格納される場合があり、CSSがホストする特定のドメイン名に対するサービス拒否攻撃の可能性があります。この脆弱性の影響を受けるには、CSSデバイスでグローバルサーバロードバランシングを設定する必要があります。CERT/CCはこの問題に関する脆弱性に関する注意事項を発行しました(VU#714121)。シスコは修正済みソフトウェアを提供しており、お客様には修正済みコードへのアップグレードが求められます。

CSSにおけるこの脆弱性は、Cisco Bug ID CSCdz62499およびCSCea36989に記載されています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20030430-dnsで入手できます。

該当製品

脆弱性のある製品

CSS 11000および11500シリーズスイッチ（以前のArrowpoint）は、CSS 11050、CSS 11150、CSS 11800 11501、11503、および11506ハードウェアプラットフォームで構成されます。Cisco WebNSソフトウェアを実行する。

WebNSソフトウェアリビジョンを実行しているCSS 11000および11500シリーズスイッチは、Global Server Load Balancing（DNSロードバランシングとも呼ばれる）が設定されている場合にのみ、この脆弱性の影響を受けます。

CSS機器でグローバルサーバロードバランシングが設定されているかどうかを確認するには、dns-serverコマンドの設定を確認してください。このコマンドが存在しない場合、設定はこの問題に対して脆弱ではありません。

脆弱性を含んでいないことが確認された製品

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

一般に、インターネットで使用されているネームサービス(DNS)は、DNSサーバとクライアント間のクエリーにさまざまなレコードタイプを使用します。一般的なレコードタイプには、アドレスレコード（Aレコード）、ネームサーバーレコード（NSレコード）、メール交換（MXレコード）、認証開始レコード（SOAレコード）、および正規名レコード（CNAMEレコード）があります。各レコードまたはクエリータイプには、キャッシュされる可能性のある内容、他のクライアントによって信頼される可能性のある内容などの詳細を含む、さまざまな規則および形式が関連付けられています。

通常、クライアントはローカルサーバにクエリを送信し、そのローカルサーバは、クライアントに対する応答を作成するために、そのクライアントの代わりに他のサーバにクエリを送信します。ローカルサーバは応答を受信すると、今後の使用のために情報をキャッシュし、クライアントに応答します。

CSS 11000および11500シリーズスイッチは、権威DNSネームサーバとして機能する機能を備えており、DNS Aレコード要求にのみ応答します。グローバルサーバロードバランシング機能を介してDNS用に設定されたCSSが、サポートされていないレコードタイプに対するDNS要求またはクエリを受信した場合、CSSは、WebNSのバージョンに応じてrcode 4「not implemented」またはrcode 3「NXDOMAIN」で応答します。NXDOMAIN応答コードを受信すると、クエリサーバは通常、その名前に対する他のレコードタイプの解決の試行を停止します。たとえば、AAAAクエリに対するNXDOMAIN応答によって、実際にはAレコードが存在していても、サーバによるAクエリの送信が停止される場合があります。NXDOMAIN応答を受信し、ネガティブキャッシュをサポートする一部のリゾルバは、ネガティブキャッシュされたエラー応答が期限切れになり、さらに時間がかかるまで、同じ名前のAレコードを照会しません。

受信したDNSクエリが正規のホスト名に対するものであるが、サポートされていないレコードタイプに対するものであった場合、これらの否定応答はさまざまなプロキシまたはキャッシングネームサーバによってキャッシュされる可能性があり、他のクライアントが正規のホスト名に対してキャッシングネームサーバまたはプロキシを照会すると、一時的にサービスが停止することがあります。ネットワークサービスは物理的には影響を受けませんが、エンドユーザは名前解決に依存し、正しいDNS情報がないと、サービスが効果的に停止する可能性があります。

最初の修正はCisco Bug ID CSCdz62499（登録ユーザ専用）で、応答がrcode 3からrcode 4に変更されました。この結果コードも負のキャッシュに格納されるため、Cisco Bug ID CSCea36989で完全な修正が正しく行われています。

CSSはRFC 2308準拠のNODATAタイプ3応答を返すようになりました。これは、rcode=NOERROR、answer=0、およびSOAなしの正規の応答です。この応答により、特定のクライアントは、サポートされていないレコードタイプのクエリを続行したり、負のキャッシュのエラーメッセージやNXDOMAIN応答を使用したりするのではなく、別のAレコードをクエリするようになります。

回避策

この問題の回避策は、修復されたバージョンへのアップグレードがインストール可能になるまで、Global Server Load Balancingを無効にし、該当するサーバとドメインのDNSレコードを、準拠する別のDNSサーバに設定することです。

修正済みソフトウェア

次の表に、このField Noticeに記載されている不具合の影響を受けるCSSソフトウェアリリースの概要と、対応する最初の修正済みリリースが利用可能になる予定日を示します。日程は暫定的なものであり、変更される可能性があります。

リリースを選択する際は、次の定義に注意してください。

- メンテナンスリリースは、最も頻繁にテストされ、強く推奨されるリリースです。

- 暫定リリースはメンテナンスリリースに比べてテストが大幅に少なく、他の適切なリリースでは問題が解決されない場合にのみ選択する必要がある不具合です。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。

該当するバージョン

修正済みバージョン

利用可能な予定日

5.00 ～ 5.00.1.05

- 5.00 build 105(ap0500105.adi-gz)

5.00.1.08S：暫定ビルド

- 5.00ビルド108 (ap0500108s.adi-gz)

2003年4月29日

5.00.2.01：メンテナンスリリース

- 5.00 build 201(ap0500201.adi-gz)

2003年5月30日

5.01、5.02、および 5.03

6.10へのアップグレード – メンテナンスリリース

2003年5月15日

7.10.1.02以前の7.10

- 7.10ビルド102(sg0710102.adi-gz)

7.20.0.03：メンテナンスリリース

- 7.20 build 003(sg0720002.adi-gz)

現在利用可能

7.10.2.06：メンテナンスリリース

- 7.10 build 206(sg0710206.adi-gz)

現在利用可能

注：上の表の箇条書き項目は、ビルドIDとファイル名（同じビルドに対する以前の命名規則）に関する情報を提供します。

不正利用事例と公式発表

この脆弱性は、http://www.kb.cert.org/vuls/id/714121でCERTによって公開されています。CERTは、この問題は新しいものではないことを指摘しています。Cisco PSIRTでは、このアドバイザリに記載されている脆弱性の悪用に関する情報は得られていませんが、この問題の性質により、エクスプロイトに気づいたり、エクスプロイトが報告されたりすることは考えられません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20030430-dns

改訂履歴

リビジョン 1.0

2003年4月30日

初回公開リリース

リビジョン 1.1

2003年5月1日

「ソフトウェアバージョンと修正」で説明するために追加された代替ビルド識別子。

リビジョン 1.2

2003年5月23日

バージョン番号を明確にするため、表の「影響を受けるバージョン」列の内容を編集。

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。