severity

アドバイザリーID : cisco-sa-20031202-SNMP-trap

初公開日 : 2003-12-02 17:00

バージョン 1.0 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco IOSÂ®ソフトウェアを実行しているCisco Aironetアクセスポイント(AP)は、snmp-server enable traps wlan-wepコマンドが有効になっている場合、クリアテキストの静的なWired Equivalent Privacy(WEP)キーをSimple Network Management Protocol(SNMP)サーバに送信します。該当するハードウェアモデルは、Cisco Aironet 1100、1200、および1400シリーズです。このコマンドは、デフォルトで無効になっています。回避策は、このコマンドを無効にすることです。動的に設定されたWEPキーは公開されません。

VxWorksオペレーティングシステムを実行しているCisco Aironet APモデルは、この脆弱性の影響を受けません。他のシスコ製品は影響を受けません。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031202-SNMP-trapで入手できます。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

Cisco IOSソフトウェアを実行しているCisco Aironet AP 1100、1200、および1400シリーズが該当します。Cisco IOSソフトウェアを実行しているCisco AP 350は該当しません。VxWorksベースのオペレーティングシステムを実行しているAPは影響を受けません。

Cisco IOSソフトウェアを実行しているかどうかを確認するには、ワークステーションで次のコマンドを入力し、「10.0.0.1」をAPのIPアドレスに置き換えます。

host%telnet 10.0.0.1

グラフィック形式のメニューではなく、単にプロンプト(ap1200%など)が表示される場合は、脆弱性が存在する可能性があります。

Cisco IOSソフトウェアを実行していることを確認するには、プロンプトでshow versionコマンドを入力します。コマンドの結果が次の例と似ている場合は、Cisco IOSソフトウェアを実行しています。

ap1200>show version

Cisco Internetwork Operating System Software

IOS (tm) C1200 Software (C1200-K9W7-M), Version 12.2(11)JA1, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1)

TAC Support: http://www.cisco.com/tac

Copyright (c) 1986-2003 by cisco Systems, Inc.

Compiled Mon 07-Jul-03 13:48 by ccai

Image text-base: 0x00003000, data-base: 0x004D46F4

APでCisco IOSソフトウェアが使用されていることが判明したら、次のコマンドを実行します。

ap1200#show running

.

.

.

.

snmp-server enable traps tty

snmp-server enable traps dot11-qos

snmp-server enable traps wlan-wep    <<<<<<

....

設定に<<とマークされた行が含まれている場合は、脆弱です。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

snmp-server enable traps wlan-wepコマンドを有効にすると、キーが変更されるか、APがリブートされるたびに、クリアテキストの静的なWEPキーがSNMPサーバに送信されます。この脆弱性は日和見的であり、この脆弱性を不正利用するには次の条件を満たす必要があります。

- snmp-server enable traps wlan-wepコマンドを有効にする必要があります。（デフォルトでは無効になっています）。

- 攻撃者は、APからSNMPサーバに送信されるSNMPパケットを代行受信できる必要があります。

- 対象のAPをリブートするか、スタティックWEPキーを変更する必要があります。

このような状況では、攻撃者はすべての静的なWEPキーを傍受できます。

動的に設定されたWEPキーは、この脆弱性の影響を受けず、明らかにされません。Extensible Authentication Protocol(EAP)認証プロトコルのいずれかを使用している場合、WEPキーは動的に設定されます。現在、Cisco APでは、LEAP、EAP-TLS、PEAP、EAP-MD5、およびEAP-SIMのEAP認証プロトコルがサポートされています。

この脆弱性には、Cisco Bug ID CSCec55538(登録ユーザ専用)が割り当てられています。

回避策

回避策は、次のグローバルコマンドを入力して、関連するSNMPトラップコマンドを無効にすることです。

ap1200(config)#no snmp-server enable traps wlan-wep

上記のコマンドによりAPからのWEPキーの送信が停止されますが、シスコではスタティックWEPキーを使用せず、APでサポートされる一部のEAP認証プロトコルを使用することを推奨しています。WEPスキーム自体には、いくつかの重大な欠点があります。ワイヤレスLANセキュリティの詳細については、http://www.cisco.com/application/pdf/en/us/guest/netsol/ns386/c649/ccmigration_09186a0080871da5.pdfを参照してください。一般的なワイヤレスセキュリティに関する文書と設定例を示します。

修正済みソフトウェア

脆弱性のあるCisco IOSソフトウェアリリースは、12.2(8)JA、12.2(11)JA、および12.2(11)JA1です。

最初の修正リリースは12.2(13)JA1です。

不正利用事例と公式発表

このアドバイザリで説明されている脆弱性の公表や悪用に関する情報は Cisco PSIRT には寄せられていません。この脆弱性はBill Van Devenderによって発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031202-SNMP-trap

改訂履歴

リビジョン 1.0

2003年12月2日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。