Cisco IOSソフトウェア ファイアウォール アプリケーション インスペクション コントロール脆弱性

HTTP によって設定されるアプリケーション特有のポリシーで IOSファイアウォール アプリケーション インスペクション コントロール（AIC）のために設定される Cisco IOSソフトウェアは特定の不正 な HTTP 中継パケットを処理するときに Denial of Service（DoS/DDoS） 脆弱です。 この脆弱性の不正利用に成功した場合、影響を受けた機器では再起動が発生することがあります。

この脆弱性に対処するソフトウェア アップデートは、すでにシスコからリリースされています。

この脆弱性のための軽減は利用できます。 詳細については「回避策」セクションを参照して下さい。

このアドバイザリは http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosfw で掲示されます。

注: 2008 年 9月 24 日 IOS アドバイザリによって組み込まれる書は 12 のセキュリティ アドバイザリが含まれています。 アドバイザリの 11 は Cisco の IOS software の脆弱性に対処し、1 つのアドバイザリは Cisco Unified Communications Manager の脆弱性に対処します。 各アドバイザリはリリースをリストしますアドバイザリに説明がある脆弱性を解決する。

各ドキュメントへのリンクは次のとおりです。

• http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosips
  
• http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ssl
  
• http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-sip
  
• 924-cucm
  
• http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-vpn
  
• http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ipc
  
• http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-mfi
  
• http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ubr
  
• 924-sccp
  
• http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-multicast
  
• http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosfw
  
• 924-l2tp
  

HTTP AIC 機能は Cisco IOS ソフトウェア リリース 12.4(9)T で導入されました。 このアドバイザリのソフトウェア テーブルは該当するリリースを識別します。

ファイアウォールは組織のネットワーク アセットへネットワークデバイスそのコントロール アクセスです。 ファイアウォールは頻繁にネットワークに入口ポイントで置かれます。 Cisco IOSソフトウェアは特定の必要条件に従って簡単か精巧なファイアウォール ポリシーを設定することを可能にする一組のセキュリティ機能を提供します。

HTTP はネットワークで広く使われて、規格への合法性および準拠に関してまれに挑戦されるインターネット Web サービスを転送するのにポート 80 をデフォルトで使用します。 ポート 80 トラフィックがネットワークによって挑戦されないで一般的に許可されるので、多くのアプリケーション開発者はアプリケーションのトラフィックが移動するようにまた更にファイアウォールをバイパスするようにする代替転送 プロトコルとして HTTPトラフィックを活用 して います。 Cisco IOS Firewall は HTTP AIC で設定されるとき、セキュリティ ポリシー構成の範囲内で承認されない HTTP 接続を検出するためにパケット点検を行います。 それはまたポート 80 を通ってトンネリング アプリケーションであるユーザを検出する。 パケットが HTTP プロトコルに従ってない場合、廃棄されます、接続はリセットされ、syslog メッセージは適切ように、生成されます。

HTTP アプリケーション特有のポリシーで IOSファイアウォール AIC のために設定される Cisco IOSソフトウェアは特定の不正 な HTTP 中継パケットを処理するときサービス拒否状態に脆弱です。 この脆弱性の不正利用に成功した場合、影響を受けた機器では再起動が発生することがあります。

HTTP は TCP を実行します。 不正利用されるべきこの脆弱性に関してはどの悪意のあるトラフィックでもデバイスのリロードという結果に終るために処理される前にクライアント および サーバ間の完全な 3方向ハンドシェイクが必要となります。

HTTP アプリケーション特有のポリシーマップとの Cisco IOS Firewall AIC に関するその他の情報は /en/US/products/ps6441/products_feature_guide09186a008060f6dd.html#wp1407906 で利用できます。

この脆弱性は Cisco バグ ID CSCsh12480 （登録ユーザのみ）で文書化されています、よくある脆弱性および公開（CVE）識別子 CVE-2008-3812 はこの脆弱性に割り当てられました。

この脆弱性に対する回避策はありません。 Help カウンターへの唯一の既知アクションはこの脆弱性影響を受けたデバイス・コンフィギュレーションの AIC HTTP 強度 の パケット インスペクションをディセーブルにすることです。 深いパケット HTTP インスペクションをディセーブルにすることはファイアウォール特性がの他を設定されますソフトウェアアップグレードまで機能し続けるようにします。 他のファイアウォール特性はすべて普通実行し続けます。

AIC HTTP 強度 の パケット インスペクションのディセーブル化

AIC HTTP 強度 の パケット インスペクションをディセーブルにするために、policy-map 型 Inspect layer4-policymap と policy-map 型 Inspect http layer7-policymap の間でリンケージを取除いて下さい。 この例は方法に先行している現在のコンフィギュレーションを AIC HTTP 強度 の パケット インスペクションを取除く示したものです:

!--- Existing Configuration !

parameter-map type inspect global

!

class-map type inspect http match-any layer7-classmap
class-map type inspect match-any layer4-classmap
 match protocol http

!

policy-map type inspect http layer7-policymap
 class type inspect http layer7-classmap
  allow
 class class-default
policy-map type inspect layer4-policymap
 class type inspect layer4-classmap
  inspect global
  service-policy http layer7-policymap
 class class-default

!

zone security inside
 description ** Inside Network **
zone security outside
 description ** Outside Network **
zone-pair security in2out source inside destination outside
 description ** Zone Pair - inside to outside **
 service-policy type inspect layer4-policymap

疑わしいゾーン ペアからサービス ポリシーを取除いて下さい:

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#zone-pair security in2out source inside destination outside
Router(config-sec-zone-pair)#no service-policy type inspect layer4-policymap
Router(config-sec-zone-pair)#exit

policy-map 型 Inspect layer4-policymap と policy-map 型 Inspect http layer7-policymap の間でリンケージを取除いて下さい:

Router(config)#policy-map type inspect layer4-policymap
Router(config-pmap)#class type inspect layer4-classmap
Router(config-pmap-c)#no service-policy http layer7-policymap
Router(config-pmap-c)#exit
Router(config-pmap)#exit

疑わしいゾーン ペアにサービス ポリシーを再適用して下さい:

Router(config)#zone-pair security in2out source inside destination outside
Router(config-sec-zone-pair)#service-policy type inspect layer4-policymap
Router(config-sec-zone-pair)#exit

必要とされなくて、なぜならが設定の完璧さ policy-map 型 Inspect http layer7-policymap および class-map 型 Inspect http match-any layer7-classmap は取除かれるために推奨されます。

Router(config)#no policy-map type inspect http layer7-policymap
Router(config)#no class-map type inspect http match-any layer7-classmap
Router(config)#exit
Router#

ソフトウェアのアップグレードを検討する際には、http://www.cisco.com/go/psirt およびそれ以降のアドバイザリも参照して、起こりうる障害と完全なアップグレード ソリューションを判断してください

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。 情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、Cisco IOS のリリース トレインが記載されています。 特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（および、それぞれの予想提供日）が表の「第 1 修正済みリリース」列に記載されます。 「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。 特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。 表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。

Cisco PSIRT はこのアドバイザリに記載される脆弱性の公示か不正利用に気づいていません。

この脆弱性は Cisco 内部テストによって発見されました。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。