severity

アドバイザリーID : cisco-sa-20031215-fwsm

初公開日 : 2003-12-15 16:00

バージョン 1.1 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

このアドバイザリでは、Cisco Catalyst 6500シリーズおよびCisco 7600シリーズ(FWSM)向けCisco Firewall Services Module(FWSM)に関する2つの脆弱性について説明します。これらの脆弱性は、CSCeb16356(HTTP Auth)およびCSCeb88419(SNMPv3)として文書化されています。

CSCeb88419(SNMPv3)の影響を軽減する回避策があります。CSCeb16356（HTTP認証）に対する回避策はありません。

Cisco では、該当するお客様用に、この問題に対応するソフトウェアを無償で提供しております。

このアドバイザリは、 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-fwsm で公開されています。

該当製品

脆弱性のある製品

次に示すように、該当するCisco FWSMソフトウェアを実行しているすべてのCisco FWSMデバイスが、これらの脆弱性の影響を受けます。

- CSCeb16356（HTTP認証）

1.1.2 and earlier.

- CSCeb88419(SNMPv3)

1.1.2 and earlier.

Cisco PIXファイアウォールもSNMPv3の問題に対して脆弱で、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-pixに記載されています。他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

ソフトウェアのリビジョンを確認するには、コマンドラインプロンプトでshow versionと入力します。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

- CSCeb16356（HTTP認証）

TACACS+またはRADIUSを使用した認証のためのHTTPトラフィック要求の処理中に、バッファオーバーフローの脆弱性が原因でCisco FWSMがクラッシュしてリロードする可能性があります。この要求は、FTP、Telnet、またはWorld Wide Web(HTTP)経由で接続を開始するユーザに、ユーザ名とパスワードの入力を求めるプロンプトが表示されたときに開始されます。指定されたTACACS+またはRADIUS認証サーバによってユーザ名とパスワードが確認されると、Cisco FWSMでは、認証サーバと接続の間の追加のトラフィックが、Cisco FWSMの「カットスループロキシ」機能を使用して個別に対話できるようになります。

- CSCeb88419(SNMPv3)

Cisco FWSMでsnmp-server host <if_name> <ip_addr>またはsnmp-server host <if_name> <ip_addr> pollが設定されている場合、受信したSNMPv3メッセージの処理中にCisco FWSMがクラッシュしてリロードします。これは、Cisco FWSMがSNMPv3をサポートしていない場合でも発生します。

snmp-server host <if_name> <ip_addr> trapコマンドを使用してトラップの生成と送信のみを行うように設定されたCisco FWSMには、脆弱性はありません。

インターネットワーキング用語およびCisco Systems Acronymsのオンラインガイドは、http://www.cisco.com/univercd/cc/td/doc/cisintwk/にあります。

これらの脆弱性は、Cisco Bug ToolkitにBug ID CSCeb16356(HTTP Auth)およびCSCeb88419(SNMPv3)として文書化されています。このツールにアクセスするには、登録ユーザであり、ログインしている必要があります。

回避策

- CSCeb16356（HTTP認証）

回避策はありません。アップグレードしてください。

- CSCeb88419(SNMPv3)

次の 2 つの回避策が適用できます。

- 脆弱性のあるイメージでCisco FWSMへのSNMPポーリングが必要な場合は、次のコマンドを使用して、SNMPサーバへのポーリングアクセスを信頼できるインターフェイスと信頼できるホストに制限できます。

snmp-server host <if_name> <ip_addr> poll

注：  上記のコマンドでpollキーワードまたはtrapキーワードが特に使用されていない場合は、PollとTrapの両方が有効になります。上記のコマンドでは、送信元IPスプーフィングされたSNMP要求メッセージがこの脆弱性を不正利用することを防ぐことはできません。

- 次の手順で、Cisco FWSMのSNMPサーバを無効にします。

clear snmp-server

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

注：  Cisco FWSMでは、コミュニティストリングを完全に削除することはできません。常にpublicまたはユーザ設定の文字列になります。show snmpは引き続きsnmp-server community publicを表示しますが、これはSNMPが有効であることを意味するものではありません。

詳細については、http://www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/pix_sw/v_62/cmdref/s.htm#wp1026423を参照してください。

Cisco PSIRT では、該当ユーザが修正済みソフトウェア バージョンのコードにアップグレードすることを推奨しています。

修正済みソフトウェア

- CSCeb16356（HTTP認証）

1.1.3 以降.

- CSCeb88419(SNMPv3)

1.1.3 以降.

修正されたソフトウェアバージョンにアップグレードする手順については、http://www.cisco.com/univercd/cc/td/doc/product/lan/cat6000/mod_icn/fwsm/fwsm_1_1/fwsm112/admin.htm#wp1049356を参照してください。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-fwsm

改訂履歴

リビジョン 1.1

2003年12月17日

SNMPサーバの無効化の回避策にclear snmp-serverコマンドを追加。「SNMPv3の詳細と回避策」セクションに詳細なテキストを追加。

リビジョン 1.0

2003年12月15日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。