Cisco VPN クライアントにおけるローカル権限昇格の脆弱性

Cisco VPN Client for Microsoft Windows には、非特権ユーザの権限を LocalSystem アカウントの権限に昇格させることを可能にする 2 つの脆弱性が存在します。

このアドバイザリで説明されるている 2 つの脆弱性のうち 1 つには回避策があります。

Cisco では、該当するお客様用に、これらの脆弱性に対応する無償ソフトウェアを提供しております。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20070815-vpnclient で公開されています。

注：Cisco VPN Clientの64ビットバージョンのリリース5.0.7.0240（ベータリリース）および5.0.7.0290（公式リリース）では、「デフォルトのcvpnd.exeファイルの権限によるローカル権限昇格」の脆弱性に対する修正で回帰が見られました。64ビットCisco VPN Clientのリリース5.0.7.0440では、この回帰が修正されています。32ビットバージョンのCisco VPN Clientでは、このリグレッションは発生していません。

Cisco VPN Client は、Microsoft Windows、Sun Solaris、Linux、Apple MacOS Classic および MacOS X オペレーティング システム向けのソフトウェア ソリューションです。このソフトウェアを使用すると、Cisco IOS ルータ、PIX セキュリティ アプライアンス、VPN 3000 シリーズ コンセントレータ、ASA 5500 シリーズ適応型セキュリティ アプライアンスなどの VPN 対応デバイスに対して IPSec VPN トンネルを確立できます。

Cisco VPN Client for Microsoft Windows には、非特権ユーザの権限を昇格させることを可能にする 2 つの脆弱性が存在します。

注：次の脆弱性は、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20060524-vpnclientで公開されているCisco VPN Client for Windowsに関するCisco Security Advisoryで説明されている脆弱性とは異なります。

1. Microsoft Windows Dial-Up Networking Interfaceを介したローカル権限昇格

Start Before Logon（SBL）機能を有効にし、Microsoft ダイヤルアップ ネットワーキング インターフェイスを使用するように VPN プロファイルを設定することにより、非特権ユーザの権限が LocalSystem アカウントと同等の権限に昇格される可能性があります。これら 2 つの設定を同時に有効にして設定すると、Windows のログオン画面に Cisco VPN Client の Graphical User Interface（GUI）が表示されます。これら 2 つの設定は、管理者権限を持っていなくても変更できることに注意してください。

Windows のログイン画面では、Microsoft ダイヤルアップ ネットワーキングを使用するように設定された VPN プロファイルを利用して、ダイヤルアップ ネットワーキング ダイアログ ボックスを起動できます。これにより、ユーザは自分の権限を昇格させることが可能になります。

この脆弱性は、「Windows Logon Properties」ダイアログ ボックス（Options-> Windows Logon Properties...）にある設定オプション「Allow launching of third party applications before logon」が有効になっていないと、Microsoft ダイヤルアップ ネットワーキングを使用するように設定された VPN プロファイルを Windows のログオン画面から選択できないようにすることによって対処されています。

注： 「Allow launching of third party applications before logon」を有効にすると、セキュリティ上の問題が発生する可能性があります。このオプションを有効にできるのは、管理者権限を持つユーザのみです。

この脆弱性は、Cisco Bug ID CSCse89550(登録ユーザ専用)に記載されています。

SBL 機能についての詳細は、http://www.cisco.com/en/US/docs/security/vpn_client/cisco_vpn_client/vpn_client46/win/user/guide/vc7.html#wp1301567 を参照してください。

LocalSystem アカウントとその権限については、http://msdn2.microsoft.com/en-us/library/ms684190.aspx を参照してください。

2.デフォルトのcvpnd.exeファイル権限によるローカル権限の昇格

Cisco VPN Service の実行可能ファイルを任意の実行可能ファイルに置き換えることにより、LocalSystem アカウントの権限を必要とする任意のプログラムを非特権ユーザが実行できるようになります。この脆弱性は、インストール時に cvpnd.exe（Cisco VPN Service の実行可能ファイル）に割り当てられるデフォルトのファイル アクセス許可によって、非特権ユーザが cvpnd.exe を任意のファイルに置き換えることが許可されているために存在します。

Cisco VPN Service は LocalSystem 権限で実行される Windows サービスであるため、非特権ユーザは容易に自分の権限を昇格させることができます、

この脆弱性は、ソフトウェアをアップグレードしなくても回避できます。このアドバイザリの「回避策」セクションを参照してください。

この脆弱性は、Cisco Bug ID CSCsj00785(登録ユーザ専用)に記載されています。

注：Cisco VPN Clientの64ビットバージョンのリリース5.0.7.0240（ベータリリース）および5.0.7.0290（公式リリース）にはCSCsj00785(登録ユーザ専用)に対する修正に回帰があり、この脆弱性にも該当します。64ビットCisco VPN Clientのリリース5.0.7.0440では、この回帰が修正されています。32ビットバージョンのCisco VPN Clientでは、このリグレッションは発生していません。この回帰に対する修正は、Cisco Bug ID CSCtn50645(登録ユーザ専用)に記載されています。

Cisco では、Common Vulnerability Scoring System（CVSS）に基づき、このアドバイザリで説明されている脆弱性のスコアを評価しました。このセキュリティアドバイザリでの CVSS スコアは CVSS version 2.0 に基づいています。

Cisco では基本スコアと現状スコアを評価します。お客様はこれらを用いて環境評価スコア （Environmental Score） を算出し、個々のネットワークにおける脆弱性の影響度を導き出すことができます。

Cisco PSIRT は、すべてのケースにおける重みを「標準」に設定します。特定の脆弱性の環境的影響を判断する際には、重みパラメータを適用することを推奨します。

CVSS は、脆弱性の重大度を伝える標準ベースのスコア評価方式であり、対応の緊急度や優先度を判断するのに役立ちます。

Cisco は以下の URL にて CVSS に関する FAQ を提供しています。

http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html にアクセスしてください。

また Cisco は個々のネットワークにおける環境影響度を算出する CVSS 計算ツールを以下の URL にて提供しています。

https://sec.cloudapps.cisco.com/security/center/cvssCalculator.x