日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco IOS®ソフトウェアを実行しているCisco Aironetアクセスポイント(AP)は、snmp-server enable traps wlan-wepコマンドが有効になっている場合、クリアテキストの静的なWired Equivalent Privacy(WEP)キーをSimple Network Management Protocol(SNMP)サーバに送信します。該当するハードウェアモデルは、Cisco Aironet 1100、1200、および1400シリーズです。このコマンドは、デフォルトで無効になっています。回避策は、このコマンドを無効にすることです。動的に設定されたWEPキーは開示されません。
VxWorksオペレーティングシステムを実行しているCisco Aironet APモデルは、この脆弱性の影響を受けません。他のシスコ製品は影響を受けません。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031202-SNMP-trapで確認できます。
該当製品
このセクションには、該当製品に関する詳細が掲載されています。
脆弱性のある製品
Cisco IOSソフトウェアが稼働するCisco Aironet AP 1100、1200、および1400シリーズが該当します。Cisco IOSソフトウェアが稼働するCisco AP 350は該当しません。VxWorksベースのオペレーティングシステムが稼働しているAPは該当しません。
Cisco IOSソフトウェアを実行しているかどうかを確認するには、ワークステーションで次のコマンドを入力し、「10.0.0.1」をAPのIPアドレスに置き換えます。
host%telnet 10.0.0.1
グラフィック形式のメニューではなく、単にプロンプト(ap1200%など)が表示される場合は、脆弱性が存在する可能性があります。
さらに、Cisco IOSソフトウェアが稼働していることを確認するには、プロンプトでshow versionコマンドを入力します。コマンドの結果が次の例のような場合は、Cisco IOSソフトウェアを実行しています。
ap1200>show version Cisco Internetwork Operating System Software IOS (tm) C1200 Software (C1200-K9W7-M), Version 12.2(11)JA1, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1) TAC Support: http://www.cisco.com/tac Copyright (c) 1986-2003 by cisco Systems, Inc. Compiled Mon 07-Jul-03 13:48 by ccai Image text-base: 0x00003000, data-base: 0x004D46F4
APでCisco IOSソフトウェアが使用されていることが判明したら、次のコマンドを実行します。
ap1200#show running . . . . snmp-server enable traps tty snmp-server enable traps dot11-qos snmp-server enable traps wlan-wep <<<<<< ....
設定に<<でマークされた行が含まれている場合は脆弱です。
脆弱性を含んでいないことが確認された製品
他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。
詳細
snmp-server enable traps wlan-wepコマンドを有効にすると、キーが変更されるかAPがリブートされるたびに、SNMPサーバにクリアテキストの静的なWEPキーが送信されます。この脆弱性は状況に応じて悪用されるため、次の条件を満たす必要があります。
-
snmp-server enable traps wlan-wepコマンドを有効にする必要があります。（デフォルトでは無効になっています）。
-
攻撃者は、APからSNMPサーバに送信されるSNMPパケットを代行受信できる必要があります。
-
対象のAPをリブートするか、スタティックWEPキーを変更する必要があります。
このような状況では、攻撃者はすべての静的なWEPキーを傍受できます。
動的に設定されたWEPキーは、この脆弱性の影響を受けず、明らかにされません。WEPキーは、Extensible Authentication Protocol(EAP)認証プロトコルのいずれかを使用している場合に動的に設定されます。現在、Cisco APでは、LEAP、EAP-TLS、PEAP、EAP-MD5、およびEAP-SIMのEAP認証プロトコルがサポートされています。
この脆弱性には、Cisco Bug ID CSCec55538(登録ユーザ専用)が割り当てられています。
回避策
回避策は、次のグローバルコマンドを入力して、関連するSNMPトラップコマンドを無効にすることです。
ap1200(config)#no snmp-server enable traps wlan-wep
上記のコマンドによりAPからのWEPキーの送信が停止されますが、シスコではスタティックWEPキーを使用せず、APでサポートされている一部のEAP認証プロトコルを使用することを推奨しています。WEPスキーム自体にはいくつかの深刻な欠点があります。ワイヤレスLANセキュリティの詳細については、http://www.cisco.com/application/pdf/en/us/guest/netsol/ns386/c649/ccmigration_09186a0080871da5.pdfを参照してください。一般的なワイヤレスセキュリティに関する文書と設定例を紹介します。
修正済みソフトウェア
脆弱性のあるCisco IOSソフトウェアリリースは、12.2(8)JA、12.2(11)JA、および12.2(11)JA1です。
最初の修正済みリリースは12.2(13)JA1です。
推奨事項
不正利用事例と公式発表
このアドバイザリで説明されている脆弱性の公表や悪用に関する情報は Cisco PSIRT には寄せられていません。この脆弱性はBill Van Devenderによって発見されました。
URL
改訂履歴
|
リビジョン 1.0 |
2003年12月2日 |
初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。