Extensible Authentication Protocolの脆弱性

これは、2007年10月19日にHack.luで開催されたFrance Telecom GroupのLaurent Butti、Julien Tinn¨s、Franck Veyssetによるプレゼンテーションに対するCisco PSIRTの回答です。

このプレゼンテーションでは、巧妙に細工されたEAP応答IDパケットを処理する際に存在する、シスコのExtensible Authentication Protocol(EAP)の実装における脆弱性を特定します。この脆弱性は、有線または無線のEAP実装をサポートする複数のシスコ製品に影響を与えます。

Cisco PSIRTチームは、研究者と協力してセキュリティの脆弱性に関する研究を行う機会を非常に高く評価しており、製品レポートのレビューと支援を行う機会を歓迎しています。

この脆弱性は、次のCisco Bug IDに記載されています。

• ワイヤレスEAP:CSCsj56438(登録ユーザ専用)
• 有線EAP:CSCsb45696(登録ユーザ専用)およびCSCsc55249(登録ユーザ専用)

このCisco Security Responseは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20071019-eapから入手できます。

追加情報

RFC3748で説明されているように、EAPは複数の認証方式をサポートする認証フレームワークです。通常、EAPはIPを必要とせずに、Point-to-Point Protocol(PPP)やIEEE 802などのデータリンク層で直接実行されます。

脆弱性が存在する製品

この脆弱性は、シスコデバイスの有線とワイヤレスの両方の実装に影響を与えます。

これらのシスコデバイスでは、EAPはデフォルトでは設定されていません。

次のシスコ製品はワイヤレスEAPをサポートしており、この脆弱性の影響を受けます。

• Autonomousモード(CSCsj56438)でCisco IOSを実行しているアクセスポイントと1310ワイヤレスブリッジ。
  LWAPPモードで動作するアクセスポイントと1310ワイヤレスブリッジは影響を受けません。
  アクセスポイントがAutonomousモードでCisco IOSを実行しているかどうかを確認するには、デバイスにログインして、コマンドラインインターフェイス(CLI)コマンドshow versionを発行します | include IOSを使用します。Autonomousモードのアクセスポイントのイメージ名には – K9W7 – が含まれ、LWAPPモードのアクセスポイントの名前には – K9W8 – が含まれます。次の例は、自律モードのアクセスポイントを示しています。
  

  AP#show version | include IOS 
  Cisco IOS Software, C1240 Software (C1240-K9W7-M), Version 12.4(3g)JA, RELEASE SOFTWARE (fc2)
  AP#

  アクセスポイントでEAPが有効になっているかどうかを確認するには、デバイスにログインし、show running-config CLIコマンドを発行します。出力にauthentication open eap method_nameまたはauthentication network-eap method_nameが含まれている場合、そのデバイスには脆弱性が存在します。次の例は、脆弱なアクセスポイントを示しています。
  

  AP#show running-config 
     ...
       dot11 ssid test
         authentication open eap eap_methods 
         authentication network-eap eap_methods 
         authentication key-management wpa
         guest-mode
         infrastructure-ssid optional
     ...
  AP#

  攻撃者がアクセスポイントに対してこの脆弱性を不正利用すると、デバイスがリロードされます。繰り返し悪用されると、持続的なDenial of Service(DoS)攻撃が発生します。
  この脆弱性は、Laurent Butti氏とBenoÅt Stopin氏によってシスコに®告されました。

• Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズワイヤレスLANサービスモジュール(CSCsj56438)
  Cisco Catalyst 6500シリーズワイヤレスLANサービスモジュール(WLSM)でEAPが有効になっているかどうかを確認するには、WLSMにログインしてCLIコマンドshow running-configを発行します。出力に「wlccp authentication-server client <any | eap | leap> <list_name>"または"wlccp authentication-server infrastructure <list>"を実行すると、デバイスに脆弱性が存在します。次の例は、脆弱なWLSMを示しています。
  

  WLAN#show running-config 
         ...
         aaa group server radius rad_eap
         server 10.22.222.2 auth-port 1812 acct-port 1813
         !
         aaa authentication login eap_list group rad_eap
         ...
         ...
         wlccp authentication-server infrastructure eap_list
         wlccp authentication-server client any eap_list
         ...
      WLAN#

  攻撃者がWLSMに対してこの脆弱性を不正利用すると、モジュールがリロードされます。繰り返し悪用されると、持続的なDenial of Service(DoS)攻撃が発生します。

次のシスコ製品は有線EAPをサポートしており、この脆弱性の影響を受けます。

• 該当バージョンのCisco IOSを実行しているすべてのシスコスイッチ(CSCsb45696)。
  Ciscoスイッチは、EAPオーセンティケータを実行している場合に脆弱です。EAPサプリカントには脆弱性はありません。
  EAPオーセンティケータがスイッチで有効になっているかどうかを確認するには、デバイスにログインしてshow running-config | include dot1x CLIコマンドを使用します。出力にdot1x pae authenticatorまたはdot1x pae bothのいずれかが含まれている場合、デバイスは、これらのコマンドが表示されるインターフェイスを介した不正利用に対して脆弱です。次の例は、EAPオーセンティケータが有効になっているデバイスを示しています。
  

  switch#show running-config | include dot1x 
  dot1x system-auth-control 
   dot1x pae authenticator 
   dot1x port-control auto 
   dot1x timeout quiet-period 1
   dot1x timeout ratelimit-period 1
   dot1x max-start 10
   dot1x max-req 10
  switch#

  関連するCisco Bug ID CSCsi70426(登録ユーザ専用)が存在し、巧妙に細工されたEAP-ID-RESPONSEパケットを受信すると、コンソールまたはsyslogにトレースバックメッセージが表示されます。ただし、デバイスは引き続き動作します。

• 該当バージョンのCisco CatOSを実行しているすべてのシスコスイッチ(CSCsc55249)。
  EAPオーセンティケータを実行しているCiscoスイッチには脆弱性が存在します。
  EAPサプリカントには脆弱性はありません。
  EAPオーセンティケータがスイッチで有効になっているかどうかを確認するには、デバイスにログインしてshow run all | include dot1x CLIコマンドを使用します。出力にset dot1x system-auth-control enableとset port dot1x <mod/port> port-control autoの両方が含まれている場合、そのデバイスはset port dot1xコマンドが表示されるポートを介して悪用される可能性があります。EAPオーセンティケータが有効になっているデバイスの例を次に示します。
  

  Console> (enable) show run all | include dot1x 
      #dot1x 
      set dot1x system-auth-control enable 
      set dot1x quiet-period 60 
      set dot1x tx-period 30 
      set dot1x shutdown-timeout 300 
      set dot1x supp-timeout 30 
      set dot1x server-timeout 30 
      set dot1x max-req 2 
      set dot1x max-reauth-req 2 
      set dot1x re-authperiod 3600 
      set dot1x radius-accounting disable 
      set dot1x radius-vlan-assignment enable 
      set dot1x radius-keepalive enable 
      set dot1x critical-recovery-delay 100 
      set port dot1x 10/2 port-control auto 
      Console> (enable)

• Cisco Unified Communications 500シリーズ
  Cisco Unified Communications 500(UC500)シリーズの8ユーザモデルおよび16ユーザモデルは、セキュアなWLAN接続を実現するオプションの統合WLANアクセスポイントをサポートします。UC500にオプションのWLANアクセスポイントがインストールおよび設定されている場合、UC500はこの脆弱性の影響を受けます。
  オプションの統合WLANアクセスポイントがUC500にインストールされているかどうかを確認するには、デバイスにログインし、CLIコマンド「show version | include Radio」と入力します。次に、オプションのWLANアクセスポイントがインストールされているデバイスの出力を示します。WLANアクセスポイントがインストールされていないデバイスでは、入力したコマンドからデータが出力されません。
  

  UC500#show version | include Radio
               1 802.11 Radio
         UC500#

  オプションの統合WLANアクセスポイントがインストールされている場合に、UC500が該当する設定を実行しているかどうかを確認するには、上記の「AutonomousモードでCisco IOSを実行するアクセスポイントと1310ワイヤレスブリッジ」セクションの詳細を参照してください。

EAPの有線または無線の実装では、この脆弱性に対する回避策はありません。

有線デバイスまたはワイヤレスデバイスでこの脆弱性が不正利用されると、デバイスのリロードが発生します。継続的な攻撃は結果的にサービス妨害攻撃（DoS）となります。

次のリストでは、該当するトレインと最初の修正済みリリースについて説明します。

 

他のCisco IOSメジャーリリーストレインで、この脆弱性の影響を受けるものは確認されていません。

「リリース」および「トレイン」という用語の詳細については、次のURLを参照してください。

http://www.cisco.com/web/about/security/intelligence/ios-ref.html

脆弱性が存在しない製品

EAPフレームワークをサポートする次のシスコ製品は、この脆弱性の影響を受けないことが確認されています。

• アクセス ポイント
  - VxWorksを実行しているアクセスポイント(Cisco 1000)
  – ローカルモードのLightweightアクセスポイント(LAP)
  - H-/REAPモードのLightweightアクセスポイント(LAP)
  - LWAPPモードで動作する1310ワイヤレスブリッジ
  - 1410ワイヤレスブリッジ。
• ワイヤレス LAN コントローラ
  -Cisco Airespace 3500 シリーズ WLAN Controller
  -Cisco Airespace 4000 シリーズ ワイヤレス LAN コントローラ
  -Cisco 2000 シリーズ Wireless LAN Controller
  -Cisco 2100 シリーズ Wireless LAN Controller
  -Cisco 4100 シリーズ Wireless LAN Controller
  -Cisco 4400 シリーズ ワイヤレス LAN コントローラ
  - Cisco Wireless LAN Controllerモジュール(NM-AIR-WLC6-K9)
  - Cisco Catalyst 3750シリーズ統合型WLC
  - Cisco Catalyst 6500シリーズWiSM
• ワイヤレス統合ルータ（ワイヤレスアクセスポイント – ワイヤレスEAPおよび有線EAP）
  -Cisco 800 シリーズ ルータ
  -Cisco 1800 シリーズ Integrated Services Router
  -Cisco 2800 シリーズ サービス統合型ルータ
  - Cisco 3200シリーズワイヤレスおよびモバイルルータ
  -Cisco 3800 シリーズ サービス統合型ルータ
• モバイル ワイヤレス
  -Cisco 526 Wireless Express Mobility Controller

シスコのセキュリティ手順

シスコ製品のセキュリティの脆弱性に関するレポート、セキュリティ障害に対する支援、およびシスコからのセキュリティ情報を受信するための登録に関するすべての情報は、シスコのワールドワイド ウェブサイト https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html から入手できます。この情報には、シスコのセキュリティ通知に関して、報道機関が問い合せる場合の説明も含まれています。すべての Cisco セキュリティ アドバイザリは、http://www.cisco.com/go/psirt から入手できます。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。