PIX および ASA アプライアンスでの LDAP および VPN の脆弱性

PIX はファイアウォール アプライアンスであり、ユーザ ポリシーやアプリケーション ポリシーを適用し、複数の手段でシステムを保護し、安全な接続サービスを提供します。

ASA は、セキュリティ サービスと VPN サービスを備えたモジュール式プラットフォームです。ASA は、ファイアウォール、Intrusion Prevention System（IPS; 侵入防御システム）、anti-X、および VPN サービスを提供します。

LDAP 認証バイパス

L2TP IPSec トンネルまたはリモート管理セッションの終端の認証に LDAP AAA サーバを利用する Cisco ASA および PIX デバイスは、認証バイパス攻撃に対して脆弱になる場合があります。詳細については、次の説明を参照してください。

• Layer 2 Tunneling Protocol（L2TP; レイヤ 2 トンネリング プロトコル）
  L2TP IPSec トンネルを終端するデバイスは、CHAP、MS-CHAPv1、または MS-CHAPv2 の認証プロトコルとともに LDAP を使用するように設定されている場合、脆弱になります。PAP と組み合せて LDAP を使用しているデバイスは、LDAP L2TP 認証バイパスに対して脆弱ではありません。
  
• リモート管理アクセス
  管理セッション（telnet、SSH、および HTTP）の認証に LDAP AAA サーバを利用する Cisco ASA および PIX デバイスは、認証バイパス攻撃に対して脆弱になる場合があります。管理セッション用のアクセスは、明示的に有効にする必要があり、デバイスの設定で定義されている接続元 IP アドレスに限定されます。
  

この脆弱性は、Bug ID CSCsh42793(登録ユーザ専用)に記載されています。

パスワード期限が設定された VPN でのサービス拒否

リモート アクセス VPN 接続を終端する Cisco ASA および PIX デバイスは、トンネル グループにパスワード期限が設定されている場合、DoS 攻撃に対して脆弱になる可能性があります。IPSec VPN 接続においてこの脆弱性を悪用するには、グループ名とグループ パスワードを知っている必要があります。SSL VPN 接続の場合はこの情報を知っている必要はありません。攻撃に成功すると、デバイスのリロードが発生する可能性があります。

この脆弱性は、ソフトウェアバグCSCsh81111(登録ユーザ専用)に記載されています。

SSL VPN でのサービス拒否

クライアントレス SSL VPN を使用する Cisco ASA は、SSL VPN HTTP サーバ経由でのサービス拒否攻撃に対して脆弱です。攻撃が成功するためには非標準 SSL セッションでの競合状態を悪用する必要があり、攻撃が成功するとデバイスのリロードが発生する可能性があります。

詳細は、Bug CSCsi16248(登録ユーザ専用)を参照してください。

Cisco では、Common Vulnerability Scoring System（CVSS）に基づき、このアドバイザリで説明されている脆弱性のスコアを評価しました。

Cisco では基本スコアと現状スコアを評価します。お客様はこれらを用いて環境評価スコア （Environmental Score） を算出し、個々のネットワークにおける脆弱性の影響度を導き出すことができます。

Cisco PSIRT は、すべてのケースにおける重みを「標準」に設定します。特定の脆弱性の環境的影響を判断する際には、重みパラメータを適用することを推奨します。

CVSS は、脆弱性の重大度を伝える標準ベースのスコア評価方式であり、対応の緊急度や優先度を判断するのに役立ちます。

シスコは、http://www.cisco.com/web/about/security/intelligence/cvss-qandas.htmlでCVSSに関するFAQを提供しています。

また、シスコは個々のネットワークにおける環境影響度を計算するCVSS計算ツールをhttps://sec.cloudapps.cisco.com/security/center/cvssCalculator.x で提供しています。

このセクションこでは、一部の環境において役立つ可能性がある回避策について説明します。ネットワーク内のシスコデバイスに適用可能な他の対応策は、このアドバイザリに関連するCisco適用対応策速報(https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20070502-asa)を参照してください。

LDAP 認証バイパス

LDAP 認証バイパスの脆弱性に対しては、次の回避策が有効である場合があります。

• L2TP
  L2TP over IPSec 接続に LDAP 認証サーバを使用するように設定されている Cisco ASA または PIX デバイスの場合、認証プロトコルとして PAP を使用するようにデバイスを設定すると、この脆弱性が緩和される可能性があります。PAP はクリア テキストでパスワードを送信することに注意してください。L2TP 接続に対して使用する場合、PAP 認証は IPSec で暗号化されます。セキュリティ アプライアンスと LDAP サーバの間の通信はデフォルトでは暗号化されず、the ldap-over-ssl コマンドを使用することにより SSL で保護できます。PAP 認証の設定については、次の例を参考にするか、セキュリティ アプライアンスの設定ガイドを参照してください。
  

  ciscoasa#configure terminal
  ciscoasa(config)#tunnel-group l2tp_group ppp-attributes
  ciscoasa(config-ppp)#authentication pap
  ciscoasa(config-ppp)#no authentication ms-chap-v1
  ciscoasa(config-ppp)#no authentication ms-chap-v2
  ciscoasa(config-ppp)#no authentication chap
  

  CLIを使用したL2TP over IPSECの設定については、次のリンク先を参照してください。http://www.cisco.com/en/US/partner/products/ps6120/products_configuration_guide_chapter09186a008066ebb6.html
  ADSMを使用したL2TP over IPSECの設定については、http://www.cisco.com/en/US/partner/products/ps6121/products_configuration_guide_chapter09186a00806a81bc.htmlを参照してください。
  
• リモート管理
  ローカル データベースで、または LDAP サーバ以外の AAA サーバで、リモート管理セッションを認証する Cisco ASA または PIX デバイスは、この脆弱性には該当しません。リモート管理セッションで使用するAAAサーバプロトコルの変更の詳細については、http://www.cisco.com/univercd/cc/td/doc/product/multisec/asa_sw/v_7_2/conf_gd/sysadmin/mgaccess.htmを参照してください。
  Cisco ASA または PIX がセッションを受け付ける前に、リモート管理セッションを明示的に有効にする必要があります。接続元の IP アドレスは、リモート管理セッションを有効にするコマンドの中で定義します。リモート管理セッションを有効にする例を次に示します（他のコマンドも必要ですが、これらのコマンドは Cisco ASA または PIX デバイスへのアクセスを許可されるデバイスの接続元 IP アドレスを制御します）。
  リモート telnet、ssh、および http アクセスの場合：
  

  ciscoasa#configure terminal
  ciscoasa(config)#telnet source_IP_address mask source_interface 
  ciscoasa(config)#ssh source_IP_address mask source_interface
  ciscoasa(config)#http source_IP_address mask source_interface
  

パスワード期限が設定された VPN でのサービス拒否

脆弱性のないコードでデバイスを更新できるようになるまでは、リモート アクセス ユーザに対するパスワード期限を無効にすることで、この脆弱性を防ぐことができます。そのためには、次の例に示すように、トンネル グループの一般属性からパスワード管理エントリを削除します。

ciscoasa#configure terminal
ciscoasa(config)#tunnel-group remote_access_group general-attributes
ciscoasa(config-tunnel-general)#no password-management

この回避策を実装するとパスワード期限機能は無効になり、ユーザはパスワードの変更を強制されなくなります。

password-managementコマンドの詳細については、次のリンクの『セキュリティアプライアンスコマンドリファレンス』を参照してください。http://www.cisco.com/en/US/products/ps6120/products_command_reference_chapter09186a008063f0f8.html#wp1725278

SSL VPN でのサービス拒否

クライアントレス SSL VPN を使用する場合、SSL VPN の脆弱性に対する回避策はありません。クライアントベースの VPN は該当しないので、クライアントレス VPN 接続に対する代替手段として使用できます。

ASAでのクライアントレスSSL VPNの設定の詳細については、次のリンクの設定例を参照してください。http://www.cisco.com/en/US/products/ps6120/products_configuration_example09186a00806ea271.shtml

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

修正済みソフトウェアの取得方法と取得場所についての詳細は、このアドバイザリの「修正済みソフトウェアの取得」セクションを参照してください。

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

これらの脆弱性は、機器の通常使用中にこれらの問題が発生したお客様から Cisco に報告されたものです。