Cisco Security Agent for Windows のシステム ドライバのリモート バッファ オーバーフロー脆弱性

脆弱性を含んでいないことが確認された製品

Cisco Security Agent は、サーバおよびデスクトップ コンピューティング システムに対する脅威を防止するセキュリティ ソフトウェア エージェントです。Cisco Security Agent は、Management Center for Cisco Security Agents で管理することもできますが、Cisco Security Agent Management Center では管理されないスタンドアロン エージェントとして使用することもできます。

一部の Cisco 製品は、ウイルス、ワーム、攻撃などから製品を保護するため、スタンドアロンの Cisco Security Agent を統合します。スタンドアロンの Cisco Security Agent を統合する製品としては、Cisco IP Communications アプリケーション サーバ、Cisco Secure Access Control Server（ACS）Solution Engine、Cisco Security Manager などがあります。

管理対象か非管理対象かにかかわらず、Cisco Security Agent が使用するシステム ドライバには、バッファ オーバーフローの脆弱性が存在します。Cisco Security Agent は、このドライバをデフォルトで使用します。

このバッファがオーバーフローすると、Windows のカーネル メモリが破壊されます。したがって、この脆弱性を悪用されると、Windows の停止エラー（カーネル パニック、つまりブルー画面のエラー）が発生するか、または任意のコードが実行されるようになります。この脆弱性は、ネットワークを介してリモートで悪用できます。

この脆弱性は、TCP ポート 139 または 445 を宛先とする細工された TCP セグメントを Cisco Security Agent が処理する際に発生します。これらのポートは、Microsoft Server Message Block（SMB）プロトコルで使用されます。この脆弱性をトリガーするには、TCP セッションを確立する必要があります（つまり、TCP 3 ウェイ ハンドシェイクを完了する必要があります）。

脆弱なバージョンの Cisco Security Agent が稼働しているすべてのシステムが該当します。これには、Cisco IP Communications アプリケーション サーバや Cisco Security Manager のように、スタンドアロンの Cisco Security Agent を統合する Cisco 製品も含まれます。ACS Solution Engine はスタンドアロンの Cisco Security Agent を統合しますが、TCP ポート 139 と 445 を ACS Solution Engine 自体がファイアウォールで遮断するので、この脆弱性には該当しません。この TCP ポート 139 および 445 へのトラフィックの遮断は、デフォルトで有効であり、ユーザは設定できません。

この脆弱性は、Cisco Bug ID CSCsl00618(登録ユーザ専用)に記載されています。

この脆弱性には、CVE 識別子 CVE-2007-5580 が割り当てられています。

Cisco では、Common Vulnerability Scoring System（CVSS）に基づき、このアドバイザリで説明されている脆弱性のスコアを評価しました。このセキュリティアドバイザリでの CVSS スコアは CVSS version 2.0 に基づいています。

CVSS は、脆弱性の重大度を伝える標準ベースのスコア評価方式であり、対応の緊急度や優先度を判断するのに役立ちます。

Cisco は基本評価 （Base Score） および現状評価スコア （Temporal Score） を提供いたします。お客様はこれらを用いて環境評価スコア （Environmental Score） を算出し、個々のネットワークにおける脆弱性の影響度を導き出すことができます。

シスコは次のURLでCVSSに関するFAQを提供しています。

http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html にアクセスしてください。

また Cisco は個々のネットワークにおける環境影響度を算出する CVSS 計算ツールを以下の URL にて提供しています。

https://sec.cloudapps.cisco.com/security/center/cvssCalculator.x

一般的な考慮事項

TCP ポート 139 および 445 を使用する SMB プロトコル パケットを拒否するフィルタを、transit Access Control List（tACL; トランジット アクセス コントロール リスト）の一部として適用し、入力アクセス ポイントからネットワーク内に入るトラフィックを防ぎます。フィルタが適用されるデバイスとその背後にある他のデバイスを保護するには、このポリシーを設定する必要があります。TCP ポート 139 および 445 を使用する SMB プロトコルパケットに対するフィルタを、脆弱なホストの前面にも配置し、信頼できるクライアントからのトラフィックのみを許可します。

tACLについての詳細は、『トランジットアクセスコントロールリスト：エッジでのフィルタリング』を参照してください。http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801afc76.shtml

ネットワーク内の Cisco デバイスに導入できる追加の緩和テクニックについては、このアドバイザリに関連する Cisco 適用対応策速報（https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20071205-csa）を参照してください。

TCP ポート 139 および 445 をブロックするための Cisco Security Agent のルール

SMB サービス（ディレクトリ、ファイル、プリンタの共有などのサービス）を必要としないワークステーションは、TCP ポート 139 および 445（SMB ポート）へのすべてのトラフィックをブロックする Cisco Security Agent ルールを設定することで保護できます。

このようなルールは、Network Personal Firewall ポリシーを含むバージョンの Cisco Security Agent にあります。具体的なルールは、「All applications, server for SMB services (offering network shares)」という説明が付いたルールを検索することで、または（Network Personal Firewall ポリシーに付属する）Personal Firewall Module ルール モジュールを開き、この説明が付いているルールを編集することで、確認できます。このルールはデフォルトで有効になっていますが、デフォルトのアクションを Allow から High Priority Deny に変更する必要があります。

Network Personal Firewall ポリシーが存在しない場合は、TCP ポート 139 および 445 に対するトラフィックをブロックするネットワーク アクセス ルールを作成できます。そのためには、ルールを Deny ルールとして設定し、Cisco Security Agent がインストールされているシステムが TCP ポート 139 および 445 のネットワーク サービスに対するサーバとして動作しようとしたときに、トラフィックを拒否する必要があります。Cisco Security Agent ネットワーク アクセス コントロール ルールの設定に関する詳細は、次のドキュメントを参照してください。

http://www.cisco.com/en/US/docs/security/csa/csa52/user_guide/Chap6.html#wp1199624

注意：Windows システムで TCP ポート 139 および 445 をブロックすると、Windows システムは SMB サービスの提供を停止します。この回避策を適用する前に、ユーザのワークステーションで SMB サービスを無効にした場合の影響についてよく理解しておくことを推奨いたします。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

管理対象の Cisco Security Agent

管理対象の Cisco Security Agent に対する修正済みソフトウェアは、ホットフィックスの形式で入手できます。次の表は、現在サポートされているバージョンの Cisco Security Agent に対するホットフィックスの情報です。Cisco Security Agent の将来のバージョンには、修正が組み込まれる予定です。

Cisco Security Agent のホットフィックスは、次の場所からダウンロードできます。

http://www.cisco.com/pcgi-bin/tablebuild.pl/csahf-crypto?psrtdcat20e2

Cisco IP Communications 製品用の Cisco Security Agent

次の表に、Cisco Unified Communications ManagerおよびIPCC Express（別名Unified Contact Center Express、UCCX）に対するCisco Security Agentの修正に関する情報を示します。

これらの修正は、次の場所からダウンロードできます。

http://www.cisco.com/pcgi-bin/tablebuild.pl/cmva-3des?psrtdcat20e2

次の表に、Cisco Security AgentによるCisco Unityの修正に関する情報を示します。

これらの修正は、次の場所からダウンロードできます。

http://www.cisco.com/pcgi-bin/tablebuild.pl/unity3d?psrtdcat20e2

次の表に、Intelligent Contact Management(ICM)、IPCC Enterprise、およびIPCC Hostedに対するCisco Security Agentの修正に関する情報を示します。

これらの修正は、cisco.comのSoftware Center(http://www.cisco.com/public/sw-center/)のContact Center Software > Cisco Unified Contact Center Products > Cisco Agent Desktop > Cisco Security Agent for Contact Center Products領域からダウンロードできます。

Cisco Security Manager 用の Cisco Security Agent

Cisco Security Manager 用の修正済みスタンドアロン Cisco Security Agent は、ホットフィックス fcs-csamc-hotfix-5.2.0.238-w2k3-k9-CSM.zip の形式で、次の場所からダウンロードできます。

http://www.cisco.com/pcgi-bin/tablebuild.pl/csm-app?psrtdcat20e2 にアクセスしてください。

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、NSFocus Security Team（http://www.nsfocus.com）から Cisco に報告されたものです。Cisco では、この脆弱性の報告と問題解決のための協力をいただいたことについて、NSFocus Security Team に謝意を表します。