High

アドバイザリーID : cisco-sa-20080604-asa

初公開日 : 2008-06-04 16:00

バージョン 1.0 : Final

CVSSスコア : 7.8

回避策 : Yes

Cisco バグ ID :

CVE-2008-2059

CVE-2008-2058

CVE-2008-2057

CVE-2008-2056

CVE-2008-2055

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco ASA 5500 シリーズ 適応型セキュリティアプライアンスおよび Cisco PIX セキュリティアプライアンスに複数の脆弱性が存在しています。 このアドバイザリは以下の脆弱性の要点について説明しています。

- 巧妙に細工された TCP ACK パケットの脆弱性

- 巧妙に細工された TLS パケットの脆弱性

- インスタントメッセンジャー インスペクション脆弱性

- 脆弱性スキャン Denial of Service（DoS/DDoS）

- コントロール・プレーン アクセス制御リスト脆弱性

最初の 4 脆弱性はサービス拒否 （DoS）に条件を導き、第 5 脆弱性は攻撃者がコントロール・プレーン アクセスコントロール アクセス・コントロール・リスト（ACL）をバイパスすることを可能にするかもしれません。

注:  これらの脆弱性は相互に関連していません。 ある機器が１つの脆弱性の影響を受け、他の脆弱性の影響は受けない場合もあります。

シスコはこれらの脆弱性に対処するソフトウェア アップデートを提供しています。 この中のいくつかの脆弱性には影響を軽減する回避策が存在します。

このアドバイザリは http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080604-asa で掲示されます。

該当製品

修正済みソフトウェア

以下に本アドバザリの各脆弱性の詳細について示します。

巧妙に細工された TCP ACK パケットの脆弱性

Cisco ASA および Cisco PIXデバイスは巧妙に細工された TCP 確認応答（ACK）パケットの脆弱性から影響を受けます。 8.0.x リリースの 7.2.x リリースおよび 8.0(3)10 の 7.1.x リリースの 7.1(2)70 以前のソフトウェア バージョンは、7.2(4) 影響を受けています。 ソフトウェア バージョン 7.0.x を実行する Cisco ASA または Cisco PIX セキュリティ アプライアンス モデルはまたは 8.1.x 脆弱ではないです。

Cisco ASA および WebVPN、有効に なる SSL VPN、または ASDM とバージョン 7.1.x および 7.2.x を実行する Cisco PIXデバイスはこの脆弱性から影響を受けます。 Telnet のために設定される 8.0 リリース、セキュア シェル（SSH）、WebVPN、有効に なる SSL この脆弱性から VPN、または ASDM の実行するデバイス ソフトウェア バージョンは影響を受けます。

注: 実行するデバイス IPv4 および IPv6 はこの脆弱性から影響を受けます。

巧妙に細工された TLS パケットの脆弱性

Cisco ASA または Cisco PIXデバイスの HTTPS サーバが有効に なり、8.0.x リリースの 8.0(3)9 または 8.1.x リリースのバージョン 8.1(1)1 前にソフトウェア バージョンを動作すれば Cisco ASA および Cisco PIXデバイスは巧妙に細工された TLS 要求脆弱性から影響を受けます。 ソフトウェア バージョン 7.x を実行する Cisco ASA および Cisco PIX アプライアンスは脆弱ではないです。

インスタントメッセンジャー インスペクション脆弱性

インスタント メッセージ インスペクションが有効に なり、デバイスが 8.0.x リリースの 7.2.x リリース、8.0(3)10、または 8.1.x リリースの 8.1(1)2 のソフトウェア バージョンを前に 7.2(4) 実行すれば場合 Cisco ASA および Cisco PIXデバイスは巧妙に細工された パケットの脆弱性から影響を受けます。 7.0.x および 7.1.x リリースの実行するデバイス ソフトウェア バージョンは脆弱ではないです。 さらに、有効に なるインスタント メッセージ インスペクションがないデバイスは脆弱ではないです。

注:  インスタント メッセージ インスペクションはデフォルトでディセーブルにされます。

脆弱性スキャン Denial of Service（DoS/DDoS）

デバイスが 7.2.x リリースの 7.2(3)2 か 8.0.x リリースの 8.0(2)17 前にソフトウェア バージョンを実行する場合 Cisco ASA および Cisco PIXデバイスは脆弱性（ポート）スキャン サービス拒否の脆弱性から影響を受けます。 Cisco ASA およびソフトウェア バージョン 7.0.x、7.1.x、または 8.1.x を実行する Cisco PIXデバイスは脆弱ではないです。

コントロール・プレーン アクセス制御リスト脆弱性

コントロール・プレーン ACL を使用するためにデバイスが設定されれば、そして 8.0.x リリースの 8.0(3)9 前にソフトウェア バージョンを実行すれば Cisco ASA および Cisco PIXデバイスは脆弱性から影響を受けます。 ソフトウェア バージョン 7.x か 8.1.x を実行するデバイスは脆弱ではないです。

注:  コントロール・プレーン ACL はソフトウェア バージョン 8.0(2) で最初に導入されました。 コントロール・プレーン ACL はデフォルトで有効に なりません。

show version Command Line Interface （CLI） コマンドが Cisco PIX または Cisco ASA ソフトウェアの脆弱なバージョンが動作したかどうか確認するのに使用することができます。 次の例はソフトウェア リリース 8.0(2)を実行する Cisco ASA セキュリティ アプライアンス モデルを示したものです:

ASA# show version

Cisco Adaptive Security Appliance Software Version 8.0(2)

Device Manager Version 6.0(1)

[...]

Cisco Adaptive Security Device Manager（ASDM）を使用してデバイスを管理している場合は、ログイン ウィンドウの表、または ASDM ウィンドウの左上にソフトウェアのバージョンが表示されます。

脆弱性を含んでいないことが確認された製品

Cisco Firewall サービス モジュール（FWSM）はこれらの脆弱性の何れかから影響を受けません。 バージョン 6.x を実行する Cisco PIX セキュリティ アプライアンス モデルは脆弱ではないです。 他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

改訂履歴

リビジョン 1.0

2008-June-04

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。