severity

アドバイザリーID : cisco-sa-20031215-pix

初公開日 : 2003-12-15 16:00

バージョン 1.2 : Final

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2003-1004

CVE-2003-1002

CVE-2003-1003

CVE-2003-1001

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

このアドバイザリでは、Cisco PIXファイアウォールの2つの脆弱性について説明しています。これらの脆弱性は、CSCeb20276(SNMPv3)およびCSCec20244(VPNC)として文書化されています。

CSCeb20276(SNMPv3)の影響を軽減する回避策があります。CSCec20244(VPNC)に対する回避策はありません。

このアドバイザリは https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-pix に掲載されています。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

次に示すように、該当するCisco PIXファイアウォールソフトウェアが稼働しているすべてのCisco PIXファイアウォールデバイスが、これらの脆弱性の影響を受けます。

- CSCeb20276(SNMPv3)

6.3.1、6.2.2以前、6.1.4以前。5.x.x以前。

- CSCec20244(VPNC)

6.2(2.119) ～ 6.2.3（両方を含む）

6.3.x(2.118)および6.2.1 ～ 6.2(2.118)は該当しません。

Firewall Service Module（FWSM；ファイアウォールサービスモジュール）もSNMPv3の問題に対して脆弱であり、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-fwsmに記載されています。他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

ソフトウェアのリビジョンを確認するには、コマンドラインプロンプトでshow versionと入力します。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

このセクションでは、これらの脆弱性に関する詳細情報を提供します。

- CSCeb20276(SNMPv3)

Cisco PIXファイアウォールでsnmp-server host <if_name> <ip_addr>またはsnmp-server host <if_name> <ip_addr> pollが設定されている場合、受信したSNMPv3メッセージの処理中にCisco PIXファイアウォールがクラッシュしてリロードされます。これは、Cisco PIXファイアウォールがSNMPv3をサポートしていない場合でも発生します。

snmp-server host <if_name> <ip_addr> trapコマンドを使用してトラップの生成と送信のみを行うように設定されているCisco PIXファイアウォールには脆弱性はありません。

- CSCec20244(VPNC)

特定の条件下では、確立されたVPNC IPSecトンネル接続は、別のIPSecクライアントがVPN Clientに設定されたCisco PIX Firewallの外部インターフェイスへのIKEフェーズIネゴシエーションを開始しようとするとドロップされます。

この脆弱性に対しては、VPN Clientとして設定されたCisco PIXファイアウォールのみが脆弱です。この不安定な状態から回復するには、VPN Clientで設定されたPIXのデバイスのリロードが必要です。ヘッドエンドVPNコンセントレータではアクションは必要ありません。

Easy VPNまたはezVPNとも呼ばれるVPNC接続は、Cisco PIXファイアウォールをVPNサーバに接続するためのVPNクライアントとして使用する場合に作成されます。IKEフェーズIネゴシエーションは、IPSecセッションを確立するためのステップです。

CSCec20244では、6.2(3.100)以降のソフトウェアリリースでこの問題が解決されています。

インターネットワーキング用語およびCisco Systems Acronymsのオンラインガイドは、http://www.cisco.com/univercd/cc/td/doc/cisintwk/にあります。

これらの脆弱性は、Cisco Bug ToolkitにBug ID CSCeb20276(SNMPv3)およびCSCec20244(VPNC)として文書化されています。このツールにアクセスするには、登録ユーザであり、ログインしている必要があります。

回避策

このセクションでは、次の脆弱性の回避策について説明します。

- CSCeb20276(SNMPv3)

次の 2 つの回避策が適用できます。

- PIXへのSNMPポーリングが脆弱なイメージで必要な場合は、次のコマンドを使用して、SNMPサーバへのポーリングアクセスを信頼できるインターフェイスと信頼できるホストに制限できます。

snmp-server host <if_name> <ip_addr> poll

注：  上記のコマンドでpollキーワードまたはtrapキーワードが特に使用されていない場合は、PollとTrapの両方が有効になります。上記のコマンドでは、送信元IPスプーフィングされたSNMP要求メッセージがこの脆弱性を不正利用することを防ぐことはできません。ソフトウェアバージョン6.0より前のバージョンでは、snmp-server host <if_name> <ip addr>コマンドにPollキーワードとTrapキーワードがないため、ポーリングとトラップの機能を選択的に有効にできません。
- Cisco PIXファイアウォールでSNMPサーバを次のようにディセーブルにします。

clear snmp-server

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

注：  Cisco PIXファイアウォールでは、コミュニティストリングを完全に削除することはできません。常にpublicまたはユーザ設定の文字列になります。show snmpは引き続きsnmp-server community publicを表示しますが、これはSNMPが有効であることを意味するものではありません。
詳細については、http://www.cisco.com/en/US/docs/security/pix/pix62/command/reference/s.html#wp1026423を参照してください。

- CSCec20244(VPNC)

回避策はありません。アップグレードしてください。

Cisco PSIRT では、該当ユーザが修正済みソフトウェア バージョンのコードにアップグレードすることを推奨しています。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

- CSCeb20276(SNMPv3)

6.3.2以降、6.2.3以降、6.1.5以降。

- CSCec20244(VPNC)

6.3.1以降、6.2(3.100)以降。

修正されたソフトウェアバージョンにアップグレードする手順については、http://www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/pix_sw/index.htmを参照してください。

不正利用事例と公式発表

このアドバイザリで説明されている脆弱性の公表や悪用に関する情報は Cisco PSIRT には寄せられていません。

CSCeb20276(SNMPv3)は、Rasto RickardtによってPSIRTに報告されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-pix

改訂履歴

リビジョン 1.2

2004年1月26日

CSCea28896への言及は、リリースされたソフトウェアに影響を与えないため、削除されました。「SNMPv3の回避策」セクションに詳細なテキストを追加。

リビジョン 1.1

2003年12月17日

SNMPサーバの無効化の回避策にclear snmp-serverコマンドを追加。「SNMPv3の詳細と回避策」セクションに詳細なテキストを追加。

リビジョン 1.0

2003年12月15日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。