severity

アドバイザリーID : cisco-sa-20060215-guard

初公開日 : 2006-02-15 16:00

バージョン 1.1 : Final

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2006-0764

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Anomaly Detection and Mitigation(ANOMALY)アプライアンスおよびサービスモジュールで使用されるソフトウェアのバージョン5.0(1)および5.0(3)の脆弱性により、Terminal Access Controller Access Control System Plus(TACACS+)の設定が不完全な場合、不正ユーザがデバイスに不正アクセスしたり、権限を昇格したりする可能性があります。

TACACS+認証はデフォルトで無効になっており、TACACS+認証用に正しく設定されたデバイスはこの脆弱性の影響を受けません。

シスコでは、該当するお客様用に、この脆弱性に対応する無償ソフトウェアを提供しております。この脆弱性に対しては、影響を緩和するための回避策があります。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20060215-guard で公開されています。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

この脆弱性は、Cisco GuardおよびCisco Traffic Anomaly Detectorアプライアンス用ソフトウェアのバージョン5.0(1)および5.0(3)、Cisco Catalyst 6500スイッチ/Cisco 7600ルータ用Anomaly GuardモジュールおよびTraffic Anomaly Detectorモジュールに影響します（デバイスがTACACS+認証を使用するように不完全に設定されている場合）。5.0(2)はcisco.comにリリースされていないため、該当するリリースとしてリストされません。

該当するソフトウェアバージョンが稼働し、TACACS+認証が設定されているデバイスは、Authentication, Authorization, and Accounting(AAA)コマンドでTACACS+認証が指定されていても、TACACS+サーバを指定するtacacs-server hostコマンドが設定されていない場合に脆弱です。つまり、設定に次のコマンドのいずれかまたは両方が含まれている場合です。

aaa authentication login tacacs+ local

aaa authentication enable tacacs+ local

ただし、次のコマンドはありません。

tacacs-server host <IP address of TACACS+ server>

デバイスに脆弱性が存在します。

注：上記のaaa authenticationコマンドで「tacacs+」認証方式の後に指定された「local」認証方式は、この脆弱性に関係ありません。この認証方式は、TACACS+サーバが使用できない場合にフォールバックとして通常使用されるため、示されています。「ローカル」認証方式（指定されている場合）の前に「tacacs+」認証方式が使用されており、設定にtacacs-server hostコマンドがない場合、「ローカル」認証方式の有無にかかわらず、デバイスには脆弱性が存在する可能性があります。

脆弱性を含んでいないことが確認された製品

Cisco GuardおよびCisco Traffic Anomaly Detectorは、次のソフトウェアバージョンを実行している場合は、この脆弱性の影響を受けません。

- Cisco GuardおよびCisco Traffic Anomaly Detectorソフトウェアの5.0より前のバージョン。これには、3.xおよび4.xリリースが含まれます。

- Cisco GuardおよびCisco Traffic Anomaly Detectorソフトウェアバージョン5.1以降。

Cisco GuardまたはCisco Traffic Anomaly Detectorがバージョン5.0(1)または5.0(3)を実行している場合、デバイスがTACACS+サーバに対してユーザを認証するように設定されていない場合、またはそのTACACS+の設定が完了している場合(つまり、設定にtacacs-server hostコマンドが含まれている場合)は影響を受けません。

注： TACACS+認証はデフォルトで無効になっています。明示的なAAA設定が行われない場合、Cisco GuardとCisco Traffic Anomaly Detectorはローカルデータベース（「ローカル」認証方式）に対してユーザを認証します。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco GuardおよびCisco Traffic Anomaly Detectorアプライアンス、ならびにCisco Catalyst 6500スイッチ/Cisco 7600ルータ用のAnomaly Guard ModuleおよびTraffic Anomaly Detector Moduleは、分散型Denial of Service(DDoS)攻撃の緩和デバイスであり、潜在的なDDoS攻撃の存在を検出し、正当なトラフィックのフローに影響を与することなく、監視対象のネットワーク宛のトラフィックを転送します。

Cisco GuardおよびCisco Anomaly Traffic Detectorアプライアンスは、仮想端末（アプライアンスに直接接続された標準のキーボードとモニタ）、ローカルシリアルコンソール、リモートセキュアシェル(SSH)接続、および/またはリモートセキュアWebセッション(HTTPS)を介して管理できます。Cisco Catalyst 6500スイッチ/Cisco 7600ルータ用のAnomaly GuardモジュールおよびTraffic Anomaly Detectorモジュールは、スイッチから(sessionコマンドを使用して)モジュールにログインし、SSHまたはセキュアWebセッションを介してリモートでログインすることによって管理できます。

TACACS+は、サーバ、ワークステーション、ルータ、スイッチ、アクセスサーバ、およびその他のネットワークデバイスにアクセスしようとするユーザを一元的に検証する方法を提供する認証プロトコルです。

Cisco GuardおよびCisco Anomaly Traffic Detectorデバイスにアクセスするユーザは、デバイスの設定に保存されているローカルユーザデータベースまたは外部TACACS+サーバに対して認証を受けることができます。外部TACACS+サーバに対してユーザを認証するための完全な設定には、次のコマンドが含まれています。

aaa authentication login tacacs+ local

aaa authentication enable tacacs+ local

tacacs-server host <IP address of TACACS+ server>

aaa authentication login tacacs+コマンドは、SSHまたはWebインターフェイスを介してデバイスにログインするユーザに対してTACACS+認証を設定します。aaa authentication enable tacacs+コマンドは、enableコマンドに対してTACACS+認証を設定します。tacacs-server hostコマンドは、TACACS+サーバを指定します。

Cisco GuardデバイスとCisco Anomaly Traffic Detectorデバイスが外部TACACS+サーバを使用してデバイスにログインするユーザを認証するように設定されているが、実際のTACACS+サーバがtacacs-server hostコマンドで指定されていない場合、認証はバイパスされます。認証をバイパスするユーザに付与される権限は、ログインに使用するアカウントのタイプと、そのアカウントがデバイスに存在するかどうかによって異なります。次に例を示します。

- 存在しないアカウントが使用されています。ユーザはshowコマンドのみを実行できます。

- 使用されている既存のローカルアカウント：ユーザは、通常そのアカウントに付与されるのと同じ権限を取得します。

- 使用されている既存のLinuxアカウント：ユーザは基盤となるLinuxシェルにアクセスできます。

また、TACACS+サーバに対してイネーブル認証が(aaa authentication enable tacacs+コマンドを使用して)実行され、実際のTACACS+サーバが(tacacs-server hostコマンドを使用して)指定されていない場合は、enableコマンドの認証をバイパスできます。

デバイスは、tacacs-server hostコマンドが指定されていない場合にのみ脆弱であることに注意してください。このコマンドが存在する場合、サーバのIPアドレスが正しくなくても、またTACACS+サーバが到達不能になる場合でも、デバイスはnot脆弱です。

この脆弱性は、Cisco Bug ID CSCsd21455(登録ユーザ専用)に記載されています。

回避策

この脆弱性は、tacacs-server host <IP address of TACACS+ server>コマンドを使用してTACACS+サーバを指定することで、TACACS+認証の設定が完了すれば完全に軽減できます。

セキュリティのベストプラクティスとして、管理者が設定した特定のIPネットワークへのSSHおよびWebベースの管理サービスへの接続を制限するアクセス制御機能を利用することをお勧めします。これを行うには、permit wbmコマンドとpermit sshコマンドを使用します。これらのコマンドについては、コンフィギュレーションガイドの次のセクションで説明します。

http://cisco.com/en/US/products/ps5888/products_configuration_guide_chapter09186a00804c0a6b.html#wp1162442

これらのアクセス制御メカニズムを導入すると、信頼できるネットワークからアクセスするユーザだけがログインできるという意味で、脆弱性を軽減できる可能性があります。

修正済みソフトウェア

この脆弱性は、Cisco GuardおよびCisco Traffic Anomaly Detectorソフトウェアの5.1シリーズで解決されています。5.1シリーズの最初のリリースは5.1(4)です。

Cisco Guardアプライアンス用のソフトウェアは、http://www.cisco.com/pcgi-bin/tablebuild.pl/cisco-ga-cryptoからダウンロードできます。

Cisco Traffic Anomaly Detectorアプライアンス用のソフトウェアは、http://www.cisco.com/pcgi-bin/tablebuild.pl/cisco-ad-cryptoからダウンロードできます。

Cisco Catalyst 6500スイッチ/Cisco 7600ルータ用Cisco Anomaly Guardモジュールのソフトウェアは、http://www.cisco.com/pcgi-bin/tablebuild.pl/cisco-agm-cryptoからダウンロードできます。

Cisco Catalyst 6500スイッチ/Cisco 7600ルータ用Cisco Anomaly Traffic Detectorモジュールのソフトウェアは、http://www.cisco.com/pcgi-bin/tablebuild.pl/cisco-adm-cryptoからダウンロードできます。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

シスコは、この問題を取り上げたVerizon BusinessのGerrit Wenig氏に感謝いたします。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20060215-guard

改訂履歴

リビジョン 1.0

2006年2月15日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。