severity

アドバイザリーID : cisco-sa-20041102-acs-eap-tls

初公開日 : 2004-11-02 15:00

バージョン 1.0 : Final

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2004-1099

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Extensible Authentication Protocol-Transport Layer Security(EAP-TLS)を使用してネットワークに対するユーザを認証するように設定されたCisco Secure Access Control Server(ACS)では、ユーザ名が有効である限り、暗号学的に正しい証明書を使用する任意のユーザにアクセスできます。Cryptographical correctは、証明書が適切な形式であり、有効なフィールドが含まれていることを意味します。証明書の有効期限が切れている場合や、信頼されていない認証局(CA)から発行された証明書であっても、暗号化によって正しい証明書である場合があります。

この脆弱性の影響を受けるのは、Cisco Secure ACS for WindowsおよびCisco Secure ACS Solution Engineのバージョン3.3.1のみです。シスコでは、この問題に対処する無償ソフトウェアを提供しています。

この脆弱性の影響はありません。つまり、EAP-TLSがCisco Secure ACSで設定され、ユーザ証明書のバイナリ比較が唯一の比較方法であると、Lightweight Directory Access Protocol/Active Directory(LDAP/AD)のユーザエントリに有効な証明書のみが含まれている場合、ユーザ認証は影響を受けません。

この脆弱性の不正利用は報告されていません。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20041102-acs-eap-tlsで入手できます。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

このドキュメントで説明されている脆弱性の影響を受けるのは、Cisco Secure ACS for WindowsおよびCisco Secure ACS Solution Engineのバージョン3.3.1だけです。

Cisco Secure ACSソフトウェアのバージョンを確認するには、Cisco Secure ACSにログインします。ログインに成功した後に表示される最初の画面には、バージョン番号がCiscoSecure ACSリリース3.3(1) Build 16.の形式で表示されます。

ACSのバージョンは003.003(001.16)と表示されることもあります。ここで、「16」はACS管理のグラフィカルユーザインターフェイス(GUI)で参照されるビルド番号です。

脆弱性を含んでいないことが確認された製品

Cisco Secure ACS for Unix、および3.3.1以前のバージョンのCisco Secure ACS for WindowsとCisco Secure ACS Solution Engineは、この脆弱性の影響を受けません。バージョン3.3.1は3.3.xシリーズの最初のバージョンで、バージョン3.3.2はこの脆弱性の影響を受けない最初のバージョンです。他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco Secure Access Control Server(ACS)は、AAAクライアントとして機能するネットワークデバイス（ネットワークアクセスサーバ、PIXファイアウォール、ルータ、スイッチなど）に対して、中央集中型の認証、許可、アカウンティング(AAA)サービスを提供します。Cisco Secure ACSを使用すると、ネットワーク管理者はアカウントを迅速に管理し、ユーザグループ全体のサービスのレベルをグローバルに変更できます。

EAPは、トークンカード、Kerberos、ワンタイムパスワード、証明書、公開キー認証、スマートカードなど、複数の認証方式をサポートする認証の一般的なプロトコルです。

TLSは、インターネットなどのセキュリティで保護されていないネットワークを介して通信するクライアント/サーバアプリケーション間でプライバシーとデータ整合性を提供するプロトコルです。

EAPとTLSはどちらもIETF RFC標準です。EAPプロトコルは、初期認証情報、特にEAPOL（IEEE 802.1Xによって確立されたEAP over LANのカプセル化）を伝送します。TLSは、ユーザ認証と動的な一時セッションキー生成の両方に証明書を使用します。EAP-TLS認証プロトコルは、Cisco Secure ACSとエンドユーザクライアントの証明書を使用して、クライアントとCisco Secure ACSの相互認証を適用します。EAP、TLS、およびEAP-TLSの詳細については、RFC 2284(PPP Extensible Authentication Protocol)、RFC 2246（TLSプロトコル）、およびRFC 2716(PPP EAP TLS Authentication Protocol)のIETF RFCを参照してください。

Cisco Secure ACS for WindowsまたはCisco Secure ACS Solution Engineのバージョン3.3.1でEAP-TLSプロトコルが有効になっており、ネットワークデバイスとサービスがACSを介してユーザを認証するように設定されている場合、ユーザ名が有効である限り、信頼できる認証局からの証明書であるか、証明書の有効期限が切れているかにかかわらず、暗号学的に正しい証明書を使用するすべてのユーザにアクセスが許可されます。Cryptographical correctは、証明書が適切な形式であり、有効なフィールドが含まれていることを意味します。

唯一のユーザ証明書比較方法としてユーザ証明書のバイナリ比較を実行するようにEAP-TLSが（ACSグローバル認証ページを介して）設定されている場合、LDAP/ADのユーザエントリに有効な証明書のみが含まれている限り、ユーザ認証はこの脆弱性の影響を受けません。このシナリオでユーザ認証が影響を受けない理由は、バイナリ比較方式を使用する場合、EAP-TLSカンバセーション中にユーザのマシンから送信される証明書が、LDAP/ADのユーザエントリに格納されているユーザ証明書とも比較されるためです。

ここで説明する脆弱性は、Cisco Bug ID CSCef62913(登録ユーザ専用)に記載されています。

回避策

ユーザアカウントがLDAP/ADサーバにあり、ユーザ証明書がLDAP/ADのユーザオブジェクトに保存されている場合、ユーザ証明書のバイナリ比較は、唯一の許可された比較方法としてACSの[Global Authentication]ページで設定できます。有効な証明書のみがLDAP/ADのユーザエントリに保存されている場合、このドキュメントで説明されている脆弱性を回避できます。

この回避策を有効にするには、他の証明書比較方法を有効にできない点に注意してください。つまり、SANとCNの証明書比較を[Global Authentication]ページで無効にする必要があります。

修正済みソフトウェア

このアドバイザリで説明されている脆弱性は、Cisco Secure ACS for WindowsソフトウェアおよびCisco Secure ACS Solution Engineのバージョン3.3.2で修正されています。現在、脆弱性が確認されたソフトウェアを実行していて、EAP-TLSを使用している場合は、次に説明するように、修正済みソフトウェアを入手する必要があります。

Cisco Secure ACS for Windowsを実行している場合は、バージョン3.3.2にアップグレードするか、Windows System32フォルダにある現在のCSCRL.dll Windows Dynamic Link Library(DLL)を修正済みのDLLに置き換えて、Cisco Secure ACS for Windowsを再起動します。DLLを置き換えると問題が解決し、完全なアップグレードは必要ありません。

DLLの修正は、http://www.cisco.com/pcgi-bin/tablebuild.pl/cs-acs-winからダウンロードできます。ファイル名はCSCef62913-fix-ACSWIN-v3.3.1.16.zipです。付属のReadmeファイル（同じ場所から入手可能）には、詳細なインストール手順が記載されています。

Cisco Secure ACS Solution Engineを使用している場合は、バージョン3.3.2にアップグレードするか、アップグレードパッケージを実行して該当するDLLを置き換えることもできます（ACS Solution Engineを使用している場合はSystem32ディレクトリにアクセスできないため、アップグレードパッケージが必要です）。

DLL修正のアップグレードパッケージは、http://www.cisco.com/pcgi-bin/tablebuild.pl/acs-soleng-3desからダウンロードできます。ファイル名はCSCef62913-fix-ACSSE-v3.3.1.16.zipです。付属のReadmeファイル（同じ場所から入手可能）には、詳細なインストール手順が記載されています。

アップグレード方法、バージョン3.3.2へのフルアップグレード、または該当するDLLのアップグレードのいずれかを無償で提供します。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20041102-acs-eap-tls

改訂履歴

リビジョン 1.0

2004年11月2日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。