AAAコマンド許可バイパス

これは、2006年1月25日16:00 UTC(GMT)に投稿された元のシスコベンダーの回答の更新です。https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20060125-aaatcl
最初に公開された時点から、当初は修正済みとして文書化されていたCisco IOSの一部のバージョンが、この脆弱性の影響を受けていることが判明しています。この新しい問題は、Cisco Bug ID CSCsd28570(登録ユーザ専用)で追跡されています。更新されたCisco IOSの「ソフトウェアバージョンと修正」の表はにあります。その他の関連情報は変更されません。

Cisco Internetwork Operating System(IOS)Authentication, Authorization, and Accounting（AAA；認証、認可、アカウンティング）のコマンド認可機能には脆弱性が存在します。この機能では、Tool Command Language(Tcl)execシェルから実行されたコマンドに対してコマンド認可チェックが実行されません。これにより、認証されたユーザが一部の設定でコマンド許可チェックをバイパスできるようになり、不正な権限昇格が発生する可能性があります。

AAAコマンド許可機能を実行していないデバイス、またはTcl機能をサポートしていないデバイスは、この脆弱性の影響を受けません。

COLT Telecomネットワークエンジニアリングセキュリティ担当シニアマネージャのNicolas Fischbach氏に、この問題をシスコに報告していただいたことに感謝いたします。

Cisco では、研究者と協力してセキュリティ脆弱性に関する調査を進め、製品レポートで発表することを常に歓迎しています。

追加情報

詳細

AAAコマンド許可機能を実行し、IOSがTcl機能をサポートしているデバイスは、この脆弱性の影響を受ける可能性があります。

IOS内でTcl機能を持つデバイスは、コマンドtclshを受け入れ、コマンドラインインターフェイス(CLI)プロンプトをCLIプロンプトで(tcl)に戻します。例：

router#tclsh
router(tcl)#

デバイスがTcl機能をサポートしていない場合は、エラーメッセージまたは別の出力が表示されます。

CLIプロンプト内の(tcl)テキストは、ユーザがTclシェルモード内にあることを示します。

AAAコマンド許可用に設定されたシステムでは、show running-configurationの出力に次のようなコマンドラインが表示されます。

aaa authorization commands    
tacacs+ [additional methods]

例：

aaa authorization commands 15 default group tacacs+ none

この脆弱性の影響を受けるデバイスでは、Tclシェルモードからユーザ認証特権レベルで任意のIOS EXECコマンドを実行できます。この脆弱性は、次のバグIDに記載されています。

• CSCeh73049(登録ユーザ専用):tclshモードはAAAコマンド許可チェックをバイパスする
• CSCsd28570(登録ユーザ専用):AAA許可コマンドのtclshバイパス

この脆弱性を悪化させる別の問題が存在します（以下に記載）。前のユーザがTclシェルモードになり、Tclシェルモードを終了する前にセッションを終了した場合に限り、認証されたユーザは、tclshコマンドを使用してTclシェルモードに手動で入力する中間ステップを実行することなく、自動的にTclシェルモードに入れられます(ルータプロンプト内に(tcl)の証拠はありません)。

特権ユーザがTclシェルを開始し、Tclシェルコマンドtclquitを発行せずにTclシェルモードを終了した場合、Tclシェルプロセスはアクティブなまま、対応する仮想タイプ端末VTYまたはテレタイプライタ（TTY – 回線）に接続されます。同じ回線上でデバイスにアクセスする次の認証済みユーザは、Tclシェルプロセスにアクセスし、CSCeh73049(登録ユーザのみ)またはCSCsd28570(登録ユーザのみ)と組み合わせてAAAコマンドをバイパスできます。この問題は、次のBug IDに記述されています。

• CSCef77770(登録ユーザ専用):Type ctrl-c or crtl-z causes tclsh prompt to aby

この別の問題は、次に示すIOSのバージョンにのみ存在します。

• 12.3Tベーストレイン
• 12.4ベーストレイン
• 12.2(25)S以降の列車

脆弱性が存在する製品

• Cisco IOSを実行しているすべてのシスコ製品および：
  - AAAコマンド許可機能を有効にする
  - IOSはTcl機能をサポートしています。
  - IOSバージョン12.0T以降

脆弱性が存在しない製品

• Cisco IOSを実行していない製品は影響を受けません。
• Cisco IOSバージョン12.0メインライン以前を実行している製品は該当しません。
• Cisco IOSバージョン12.0Sを実行している製品は該当しません。
• Cisco IOSを実行している製品は、AAAコマンド許可が設定されていて、Tcl機能をサポートしていない限り、この問題には該当しません。
• Cisco IOS XRを実行している製品は該当しません。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

ソフトウェア バージョンと修正

次の表のCisco IOSソフトウェアの各行には、リリーストレインと、対象となるプラットフォームまたは製品が記載されています。特定のリリーストレインに脆弱性が存在する場合、修正を含む最初のリリース（最初の修正リリース）とそれぞれのリリース予定日が「リビルド」列と「メンテナンス」列に表示されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。このようなリリースは、少なくとも、示されているリリース以上（最初の修正リリース ラベル以上）にアップグレードしてする必要があります。

 

修正済みソフトウェアの入手

シスコでは、該当するお客様用に、この脆弱性に対応する無償ソフトウェアを提供しております。ソフトウェアを配備する前に、メンテナンス プロバイダーと相談するか、機能セットの互換性や環境固有の既知の問題などがないかどうかを確認することを推奨いたします。

お客様は、購入した機能セットのみをインストールしてサポートを受けることができます。お客様はソフトウェア アップグレードをインストール、ダウンロード、アクセス、またはその他の方法で利用することにより、http://www.cisco.com/public/sw-license-agreement.html または http://www.cisco.com/public/sw-center/sw-usingswc.shtml に記載されている Cisco のソフトウェア ライセンス条件に同意したものと見なされます。

ソフトウェア アップグレードに関する質問は、psirt@cisco.com および security-alert@cisco.com では取り扱っていません。

サービス契約をお持ちのお客様

契約を結んでいるお客様は、定期的なアップデートチャネルを通じてソフトウェアを入手する必要があります。ほとんどのお客様は、http://www.cisco.comにあるシスコのワールドワイドWebサイトのSoftware Centerからソフトウェアパッチとバグ修正を入手できます。

サービス契約をご利用でないお客様

直接 Cisco から製品を購入し、Cisco サービス契約を結んでいないお客様や、サードパーティ ベンダーを通じて製品を購入し、そのベンダーから修正済みソフトウェアを入手できないお客様は、Cisco Technical Assistance Center（TAC）に連絡してアップグレードを入手できます。TAC の連絡先は次のとおりです。

• +1 800 553 2447（北米内からのフリー ダイヤル）
• +1 408 526 7209（全世界からの有料通話）
• 電子メール：tac@cisco.com

製品のシリアル番号を入手し、ソフトウェアパッチまたはバグ修正の権利の証拠としてこの通知のURLを提供します。サービス契約を結んでいないお客様は、TACにソフトウェアパッチまたはバグ修正プログラムをリクエストする必要があります。

各国の電話番号や、各言語に対応した電子メール アドレスなど、その他の TAC 連絡先情報は、http://www.cisco.com/warp/public/687/Directory/DirTAC.shtml を参照してください。弊社とのサポート契約がないお客様は、製品をご購入いただきました販売店経由でお問い合わせください。

サードパーティのサポート機関を利用されているお客様

Cisco パートナー、正規代理店、サービス プロバイダーなどのサードパーティ サポート機関との契約に基づいて Cisco 製品の供給および保守を受けているお客様は、このアドバイザリに関する適切な対処方法をそのサポート機関にお問い合せください。

回避策

回避策の効果は、製品の組み合わせ、ネットワークトポロジ、トラフィックの動作、組織のミッションなど、お客様の状況によって異なります。該当する製品とリリースは多岐に渡るので、サービス プロバイダーやサポート機関に連絡し、ネットワーク内で使用するのに最も適した回避策を確認してから、実際に配備することを推奨いたします。

AAA設定コマンドチェック

グローバルコンフィギュレーションコマンドaaa authorization config-commandsを使用してIOSコンフィギュレーションコマンドの認可チェックを追加すると、AAAコマンドの認可がTclシェルモードで強制的に行われます。

注意：IOS設定コマンド許可を有効にすると、EXEC設定モード内のすべてのコマンドがコマンド許可チェックの対象になります。

AAA許可コンフィギュレーションコマンドの詳細については、http://www.cisco.com/univercd/cc/td/doc/product/software/ios123/123cgcr/secur_r/sec_a1g.htm#wp1086510を参照してください。

TACACS+ユーザプロファイル内のdeny tclsh IOSコマンド

TACACS+内で定義されたすべてのユーザプロファイルにIOS EXECコマンドtclshを実行する権限を与えないようにすることで、管理者はユーザが追加のコマンド特権の昇格を取得するのを防ぐことができます。ベンダーのTACACS+サーバ設定ガイドを参照して、これが正しく設定されていることを確認します。

注意：Â デバイスにアクセスできるすべてのユーザがtclshコマンドにアクセスできない場合にのみ、有効な回避策となります。tclshを実行するアクセス権を持ち、前述の手順では終了しない単一のユーザが、気付かないうちに、いずれかのVTYでTclシェルプロセスを実行したままにする可能性があります。

ロールベースのCLIビュー

ネットワーク管理者は、ロールベースCLIアクセス機能を使用して、「ビュー」を定義できます。ビューとは、Cisco IOS EXECおよび設定(Config)モードコマンドへの選択的または部分的なアクセスを提供する一連の操作コマンドと設定機能です。ビューは、Cisco IOSコマンドラインインターフェイス(CLI)および設定情報へのユーザアクセスを制限します。つまり、どのコマンドを受け入れ、どの設定情報を表示するかをビューで定義できます。したがって、ネットワーク管理者は、シスコのネットワークデバイスへのアクセスをより適切に制御できます。

CLIビューの詳細については、http://www.cisco.com/univercd/cc/td/doc/product/software/ios124/124cg/hsec_c/part30/hclivws.htmを参照してください。

詳細情報

Cisco IOSでは、Cisco IOSバージョン12.0(6)T以降のCisco IOS自動音声応答機能の一部として、Tool Command Language(Tcl)バージョン7.0コマンドをサポートする機能が導入されました。詳細については、http://www.cisco.com/univercd/cc/td/doc/product/access/acs_serv/vapp_dev/tclivrpg.htm を参照してください。

Tcl機能を使用したCisco IOSスクリプティングは、Tool Command Language(Tcl)バージョン8.3.4コマンドを実行する機能を提供します。これは、Cisco IOSバージョン12.3(2)Tから導入されました。詳細については、http://www.cisco.com/univercd/cc/td/doc/product/software/ios123/123newft/123t/123t_2/gt_tcl.htm を参照してください。

シスコのセキュリティ手順

シスコ製品のセキュリティの脆弱性に関するレポート、セキュリティ障害に対する支援、およびシスコからのセキュリティ情報を受信するための登録に関するすべての情報は、シスコのワールドワイド ウェブサイト https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html から入手できます。この情報には、シスコのセキュリティ通知に関して、報道機関が問い合せる場合の説明も含まれています。すべての Cisco セキュリティ アドバイザリは、http://www.cisco.com/go/psirt から入手できます。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。