severity

アドバイザリーID : cisco-sa-20060712-crws

初公開日 : 2006-07-12 16:00

バージョン 1.1 : Final

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2006-3595

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Router Web Setup(CRWS)アプリケーションに付属するデフォルトのCisco IOS設定では、Cisco IOS HTTP（ハイパーテキスト転送プロトコル）サーバのWebインターフェイスを介して、特権レベル15で認証資格情報を必要とせずにコマンドを実行できます。特権レベル15は、Cisco IOS®デバイスの最高の特権レベルです。

修正済みバージョンのCRWSアプリケーションは、Cisco IOS HTTPサーバWebインターフェイスに関して、より安全なデフォルトIOS設定と追加機能を提供するようにCiscoによって修正されています。

この問題には、Cisco IOSソフトウェアのアップグレードやCRWSソフトウェアのアップグレードは必要ありません。修正済みバージョンのCRWSにアップグレードして新しいデフォルトIOS設定を導入する場合は、推奨される回避策を導入する必要はありません。固定CRWSバージョンにアップグレードしないことを選択したお客様、または既存の設定を維持したまま固定CRWSバージョンにアップグレードしたお客様は、このアドバイザリに記載された回避策を実装する必要があります。

CRWSアプリケーションに付属する新しいデフォルトIOS設定の詳細については、このアドバイザリの「詳細」セクションを参照してください。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20060712-crws で公開されています。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

次のCiscoルータの設定が、バージョン3.3.0ビルド31より前のCRWSの任意のバージョンに付属しているデフォルトのIOS設定に基づいている場合、この脆弱性の影響を受ける可能性があります。

- Cisco 806

- Cisco 826

- Cisco 827

- Cisco 827H

- Cisco 827-4v

- Cisco 828

- Cisco 831

- Cisco 836

- Cisco 837

- Cisco SOHO 71

- Cisco SOHO 76

- Cisco SOHO 77

- Cisco SOHO 77H

- Cisco SOHO 78

- Cisco SOHO 91

- Cisco SOHO 96

- Cisco SOHO 97

脆弱性を含んでいないことが確認された製品

上記のCiscoルータのうち、IOS設定がCRWSアプリケーションとともに出荷されたデフォルトのIOS設定に基づいていないルータには、脆弱性は存在しません。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco Router Web Setup Tool(CRWS)は、Cisco SOHOおよびCisco 800シリーズルータを設定するためのグラフィカルユーザインターフェイス(GUI)を提供し、ユーザがルータを迅速かつ簡単に設定できるようにします。GUIには、Cisco IOS HTTPサーバを介してアクセスします。このサーバは、CRWSアプリケーションに付属しているデフォルトのIOS設定で有効になっています。

Cisco IOS HTTPサーバでは、デフォルトの認証メカニズムとしてイネーブルパスワード（パスワードが設定されていると仮定します）が使用されます。ローカルユーザデータベース、外部RADIUS(Remote Authentication Dial In User Service)、または外部TACACS+(Terminal Access Controller Access Control System)サーバの使用など、その他の認証メカニズムを設定できます。CRWSアプリケーションに同梱されているデフォルトのIOS設定には、enable passwordコマンドもenable secretコマンドも含まれていません。このコマンドを使用すると、認証資格情報を入力しなくても、特権レベル15以前の任意の特権レベルでCisco IOS HTTPサーバインターフェイスにアクセスできます。特権レベル15は、Cisco IOSデバイスの最高の特権レベルです。

この脆弱性を解決するため、シスコではCRWSアプリケーションに付属のデフォルトIOS設定とCRWSアプリケーション自体を変更しました。これらの変更は次のとおりです。

- デバイスの初期設定で使用するデフォルトのユーザ名とパスワードの組み合わせの追加。

注：CRWSは最初の呼び出し時に、これらのデフォルトのクレデンシャルを変更するようユーザに求めます。デバイス設定にCRWSアプリケーションを使用する予定がない場合は、Cisco IOS CLI（コマンドラインインターフェイス）を使用して、デバイス設定からデフォルトのクレデンシャルを削除することを強くお勧めします。

- ローカルユーザデータベースに基づいてユーザを認証するための、Cisco IOS HTTPサーバの認証メカニズムの追加。

- 内部ネットワークからのCisco IOS HTTPサーバへの接続のみを許可するアクセス制限の追加。CRWSに付属のデフォルトIOS設定からアドレッシング方式を使用します。

- Telnetまたはコンソールポートを介したデバイスへの接続に表示されるログインバナーの追加。ユーザにデフォルトのクレデンシャルを削除するよう促します。

- ローカルユーザデータベースに基づいてユーザを認証するための、コンソールポートへの認証メカニズムの追加。

- CRWS GUIに初めてアクセスしたときにデフォルトのクレデンシャルを変更するようにCRWSアプリケーションを変更。

- ユーザがパブリックインターフェイスからIOS HTTPサーバインターフェイスへのアクセスを有効または無効にできるように、CRWSアプリケーションを変更したもの。

この脆弱性は、次のCisco Bug IDに記述されています。

- CSCsa78190(登録ユーザ専用)

注：  使用可能な回避策を実装するには、ソフトウェアの修正済みバージョンにアップグレードする場合でも、既存のCRWSのお客様に対してこの脆弱性の影響を軽減するための手動設定が必要です。

次の条件が満たされている場合、設定と管理にCRWSを使用しているデバイスはこの脆弱性の影響を受けます。

- 現在のデバイス設定は、CRWSアプリケーションに付属するデフォルトのIOS設定に基づいています。

- crwsに同梱されているデフォルトのIOS設定で有効になっているCisco IOS HTTPサーバは、ユーザによって無効にされていません。

- IOS HTTPサーバへのアクセス用に追加の認証メカニズム（たとえば、ローカルユーザデータベース、RADIUS、TACACS+）が定義されていないか、または設定にイネーブルパスワードやイネーブルシークレットが存在しません。

次の手順を使用して、特定のデバイスに脆弱性が存在するかどうかを確認できます。

1.デバイスでCisco IOS HTTPサーバが有効になっていますか。

- YES：ステップ2に進みます。

- NO：デバイスには脆弱性はありません。

2. IOS HTTPサーバインターフェイスへのアクセス用に設定された認証メカニズムはありますか。

- YES：デバイスには脆弱性はありません。

- NO：ステップ3に進みます。

3.デバイスにイネーブルパスワードまたはイネーブルシークレットが設定されていますか。

- YES：デバイスには脆弱性はありません。

- NO：デバイスは脆弱です。このセキュリティアドバイザリの「ソフトウェアバージョンと修正」セクションと「回避策」セクションをお読みください。

前の手順の質問に回答するために必要な情報を取得するには、次の手順を実行します。

1. デバイスでCisco IOS HTTPサーバが有効になっているかどうかを確認するには、特権CLIプロンプトから次のコマンドを実行します。

show running-config | include ip http

次の例は、Cisco IOS HTTPサーバが有効になっているデバイスを示しています。

Router#show running-config | include ip http

ip http server

Router#
次の例は、Cisco IOS HTTPサーバが無効になっているデバイスを示しています。

Router#show running-config | include ip http

no ip http server

Router#

注：Cisco IOS HTTPサーバの新しいバージョンは、SSL(Secure Sockets Layer)暗号化を提供します。この脆弱性は、SSL対応のCisco IOS HTTPサーバが設定で有効になっている場合にも不正利用される可能性があります。次の例は、標準のCisco IOS HTTPサーバは無効になっているものの、SSL対応のCisco IOS HTTPサーバは有効になっているデバイスを示しています。

Router#show running-config | include ip http

no ip http server

ip http secure-server

Router#

2. 認証メカニズムがCisco IOS HTTPサーバに適用されているかどうかを確認するには、特権CLIプロンプトから次のコマンドを実行します。

show running-config | include ip http

次の例は、Cisco IOS HTTPサーバが有効で、ローカル認証メカニズムが設定されているデバイスを示しています。

Router#show running-config | include ip http

ip http server

ip http authentication local

no ip http secure-server

Router#
デバイス設定にip http authentication行が存在しない場合は、Cisco IOS HTTPサーバが認証メカニズムとしてenable secret(またはenable password（設定されている場合）を使用することを意味します。Cisco IOS HTTPサーバで使用できるAAAメカニズムの詳細については、『AAA Control of the IOS HTTP Server』というドキュメント(http://www.cisco.com/en/US/tech/tk59/technologies_tech_note09186a008069bdc5.shtml)を参照してください。

3. enable passwordまたはenable secretが設定されているかどうかを確認するには、特権CLIプロンプトから次のコマンドを実行します。

show running-config | include enable [secret|password]

次の例は、enable secretパスワードが設定されているデバイスを示しています。

Router#show running-config | include enable [secret|password]

enable secret 5 $1$1yfp$qM7qAChXVXYp8ee2qm2Kf/

Router#
次の例は、enable passwordまたはenable secretが設定されていないデバイスを示しています。

Router#show running-config | include enable [secret|password]

Router#

回避策

この脆弱性を軽減するには、複数の回避策があります。既存のCRWSのお客様、および以前のバージョンから新しいCRWSバージョンにアップグレードするお客様は、この問題に対して脆弱な場合は、次のいずれかの回避策を導入する必要があります。新しいCRWSバージョンへのアップグレードでは、この脆弱性を排除するには不十分です。

- 回避策1:Cisco IOS HTTPサーバ機能の無効化

CRWSアプリケーションを使用してデバイスを設定または管理していないお客様は、Cisco IOS HTTPサーバが提供する機能を必要としないため、次のコマンドをデバイス設定に追加してCRWSアプリケーションを無効にすることができます。

no ip http server

no ip http secure-server
デバイスにインストールされ実行されているCisco IOSバージョンがSSL機能をサポートしていない場合、2番目のコマンドはエラーメッセージを返す可能性があります。このエラーメッセージは無害であり、無視しても問題ありません。

- 回避策2：イネーブルパスワードの設定によるCisco IOS HTTPサーバへの要求の認証の有効化

CRWSアプリケーションを使用してデバイスの設定や管理を行うお客様、またはCisco IOS HTTPサーバが提供する機能が必要なお客様は、Cisco IOS HTTPサーバインターフェイスにアクセスするための認証メカニズムを設定する必要があります。これらのオプションの1つは、enable secretまたはenable passwordパスワードを設定することです。イネーブルパスワードは、他の方式が設定されていない場合にCisco IOS HTTPサーバによって使用されるデフォルトの認証メカニズムです。

enable secretパスワードを設定するには、デバイス設定に次のコマンドを追加します。

enable secret <mypassword>
<mypassword>は、選択した強力なパスワードに置き換えてください。強力なパスワードについては、サイトのセキュリティポリシーを参照してください。『Cisco IOS Password Encryption Facts』(http://www.cisco.com/en/US/tech/tk59/technologies_tech_note09186a00809d38a7.shtml)というタイトルのドキュメントに、enable secretコマンドとenable passwordコマンドの違いが説明されています。

- 回避策3：デフォルト以外の認証メカニズムを使用したCisco IOS HTTPサーバへの要求の認証の有効化

デフォルト以外のCisco IOS HTTPサーバにアクセスするための認証メカニズムを設定します。このような認証メカニズムには、ローカルユーザデータベースや、事前に定義されたAAA（認証、認可、アカウンティング）方式などがあります。Cisco IOS HTTPサーバの認証メカニズムを有効にする手順は、Cisco IOSのリリースやその他の要因によって異なるため、例は示しません。Cisco IOS HTTPサーバの認証メカニズムの設定方法に関する情報を必要とするお客様は、『AAA Control of the IOS HTTP Server』というドキュメント(http://www.cisco.com/en/US/tech/tk59/technologies_tech_note09186a008069bdc5.shtml)をお読みください。

注：CRWSアプリケーションで使用するためにテストおよびサポートされる唯一の認証方式は、ローカルユーザデータベースです。その他の方法（外部RADIUSまたはTACACS+サーバの使用を含む）はサポートされていません。

これらの回避策に加えて、Cisco IOS HTTPサーバへのアクセスを信頼できる管理ワークステーションのみに制限することを強く推奨します。IPアドレスに基づいてCisco IOS HTTPサーバへのアクセスを制限する方法については、http://www.cisco.com/en/US/docs/ios/12_2/configfun/configuration/guide/fcf005.html#wp1000973を参照してください。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

この問題は、http://www.cisco.com/pcgi-bin/tablebuild.pl/crwsで入手できるCRWSバージョン3.3.0ビルド31の新規インストールで修正されています。

2006年8月8日以降にシスコの製造部門から出荷されたデバイスには、修正済みのCRWSバージョン3.3.0ビルド31が含まれています。

CRWSバージョン3.3.0ビルド31のインストール方法については、http://www.cisco.com/en/US/products/sw/netmgtsw/ps2076/prod_troubleshooting_guide09186a0080132c3c.html#1080818を参照してください。

既存のCRWSユーザまたは以前のバージョンからCRWSバージョン3.3.0ビルド31にアップグレードするお客様は、このセキュリティアドバイザリの「回避策」セクションに記載されている回避策を導入する必要があります。デバイス上のCRWSソフトウェアを以前のバージョンから修正済みソフトウェアバージョンにアップグレードしても、既存のインストールの脆弱性が解消されるわけではありません。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は内部テストで発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20060712-crws

改訂履歴

リビジョン 1.1

2006年8月10日1400 UTC(GMT)

修正済みのCRWSリリースを含む新しいデバイスに関する情報を追加。

リビジョン 1.0

2006年7月12日1600 UTC(GMT)

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。