Cisco Security Advisory: Cisco IOS Software Firewall Application Inspection Control Vulnerability

目次

要約
該当製品
詳細
脆弱性スコア詳細
影響
ソフトウエアバージョン及び修正
回避策
修正済みソフトウェアの入手
不正利用事例と公式発表
この通知のステータス: FINAL
情報配信
更新履歴
シスコセキュリティ手順

HTTP AIC機能はCisco IOSソフトウェアリリース12.4(9)Tで導入されました。このアドバイザリのソフトウェアテーブルでどのリリースが該当するかわかります。

脆弱性が存在する製品

脆弱性が存在しない製品

ファイアウォールは組織のネットワーク資産に対するアクセスを制御するネットワーク機器です。ファイアウォールは通常ネットワークの入り口に設置されます。Cisco IOSソフトウェアは特定の要件に従い単純なものから複雑なものまでファイアウォールポリシーを設定することができる一連のセキュリティ機能を提供します。

HTTPはインターネットWebサービスの転送にデフォルトでポート80番を使用しており、ネットワークでは一般的に使われています。ポート80番のトラフィックは大抵疑われずにネットワークを通過できるので、多くのアプリケーション開発者はアプリケーションのトラフィックがファイアウォールを通過もしくはバイパスできるように転送プロトコルとしてHTTPを活用しています。Cisco IOS ファイアウォールでHTTP AICが設定されると、その機器はパケットインスペクションを実行し、セキュリティポリシー設定の範囲内で許可されていないHTTP接続を検出します。またポート80番を利用してアプリケーションをトンネリングさせているユーザを検出することもできます。HTTPプロトコルに従っていないパケットは廃棄され、その接続はリセットされ、必要に応じてsyslog messsageが生成されます。

IOSファイアウォール アプリケーション インスペクション コントロール(AIC)機能でHTTP特有のポリシーが設定されているCisco IOS ソフトウェアには、不正な形式のHTTP通過パケットを処理する際にサービス拒絶に関する脆弱性が存在します。この脆弱性を利用して該当製品をリロードさせられる可能性があります。

HTTPはTCP上で動作します。この脆弱性が不正に利用され、悪意のあるトラフィックが流れて機器がリロードさせられるには、クライアントとサーバの間で前もって完全なTCP 3 ウェイ ハンドシェイクが行われる必要があります。

HTTP特有のポリシーマップが使用されているCisco IOSファイアウォールAICに関するその他の情報は以下のURLで確認できます: http://www.cisco.com/univercd/cc/td/doc/product/software/ios124/124newft/124t/124t6/htzonebp.htm#wp1407906

この脆弱性はCiscoバグID CSCsh12480 (登録ユーザのみ)で文書化され、Common Vulnerabilities and Exposures (CVE) IDとしてCVE-2008-3812が割り当てられています。

シスコは Common Vulnerability Scoring System（CVSS）の Version 2.0に基づいた脆弱性のスコアリングを提供しています。

CVSSは、脆弱性、重要度を示唆するもので、優先度、緊急性を決定する手助けとなる標準ベースの評価法です。

シスコは基本評価 （Base Score） および現状評価スコア （Temporal Score） を提供いたします。お客様はこれらを用いて環境評価スコア （Environmental Score） を算出し、個々のネットワークにおける脆弱性の影響度を導き出すことができます。

シスコは以下の URLにてCVSSに関するFAQを提供しています。

http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html

またシスコは個々のネットワークにおける環境影響度を算出するツールを以下のURLにて提供しています。

http://intellishield.cisco.com/security/alertmanager/cvss

この脆弱性を利用して該当製品をリロードさせられる可能性があります。この不正利用が繰り返されると継続したDoS 攻撃となる可能性があります。

ソフトウェアのアップグレードを検討する際には、http://www.cisco.com/go/psirt およびそれ以降のアドバイザリも参照して、起こりうる障害と完全なアップグレード ソリューションを判断してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報が不明確な場合は、シスコ Technical Assistance Center（TAC） もしくは契約している保守会社にお問い合せください。

Cisco IOSソフトウェアテーブル(下記)の各行はCisco IOSのリリーストレインを示します。あるリリーストレインが脆弱である場合、修正を含む最初のリリースは、表の "First Fixed Release" 列に示されます(入手可能予想日が示される場合もあります)。"Recommended Release" 列は、公開された全てのアドバイザリの修正を含むリリースを示します。 実行しているリリースが、そのトレインで "First Fixed Release" 以前のものである場合、機器が脆弱であることが知られています。 Ciscoはテーブルの "Recommended Releases" 列のリリース、またはそれ以降のリリースにアップグレードすることを推奨します。

この脆弱性のための既知の回避策はありません。この脆弱性に対処する唯一の既知のアクションは該当機器の設定でAIC HTTP ディープパケットインスペクションを無効にすることです。HTTP ディープパケットインスペクションを無効にすることで、ソフトウェアのアップグレードが実施されるまで残りのファイアウォール機能を動作させ続けることが可能となります。他の全てのファイアウォール機能は正常に動作し続けます。

AIC HTTP ディープパケットインスペクションの無効化

AIC HTTP ディープパケットインスペクションを無効にするには、policy-map type inspect layer4-policymapとpolicy-map type inspect http layer7-policymapの間の関連を削除します。以下の例では現在のコンフィギュレーションに続いて、AIC HTTP ディープパケットインスペクションの設定を削除する方法を示します。

!--- Existing Configuration !

parameter-map type inspect global

!

class-map type inspect http match-any layer7-classmap
class-map type inspect match-any layer4-classmap
 match protocol http

!

policy-map type inspect http layer7-policymap
 class type inspect http layer7-classmap
  allow
 class class-default
policy-map type inspect layer4-policymap
 class type inspect layer4-classmap
  inspect global
  service-policy http layer7-policymap
 class class-default

!

zone security inside
 description ** Inside Network **
zone security outside
 description ** Outside Network **
zone-pair security in2out source inside destination outside
 description ** Zone Pair - inside to outside **
 service-policy type inspect layer4-policymap

脆弱性が疑われるゾーンペアからサービスポリシーを削除します:

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#zone-pair security in2out source inside destination outside
Router(config-sec-zone-pair)#no service-policy type inspect layer4-policymap
Router(config-sec-zone-pair)#exit

policy-map type inspect layer4-policymapとpolicy-map type inspect http layer7-policymapの間の関連を削除します:

Router(config)#policy-map type inspect layer4-policymap
Router(config-pmap)#class type inspect layer4-classmap
Router(config-pmap-c)#no service-policy http layer7-policymap
Router(config-pmap-c)#exit
Router(config-pmap)#exit

先ほどのゾーンペアに先ほどのサービスポリシーを適用しなおします:

Router(config)#zone-pair security in2out source inside destination outside
Router(config-sec-zone-pair)#service-policy type inspect layer4-policymap
Router(config-sec-zone-pair)#exit

必須ではありませんが、不要となったpolicy-map type inspect http layer7-policymapとclass-map type inspect http match-any layer7-classmapは設定から削除することを推奨します。

Router(config)#no policy-map type inspect http layer7-policymap
Router(config)#no class-map type inspect http match-any layer7-classmap
Router(config)#exit
Router#

Ciscoはこの脆弱性に対処する無償のソフトウェアアップデートをリリースしました。ソフトウェアの導入を行う前に、機能のソフトウェアの互換性およびお客様のネットワーク環境に特有の問題に関して確認いただくか、あるいはお客様のメンテナンスプロバイダーにご相談ください。

お客様がインストールしたり、サポートを受けたりできるのは、ご購入いただいたフィーチャーセットに対してのみとなります。そのようなソフトウェア アップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様はhttp://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.htmlにあるシスコのソフトウェア ライセンスの条項または http://www.cisco.com/public/sw-center/sw-usingswc.shtml にある Cisco.com のダウンロードに示されるその他の条項に従うことに同意したことになります。

ソフトウェアのアップグレードに関し、"psirt@cisco.com" もしくは "security-alert@cisco.com" にお問い合わせいただくことはご遠慮ください。

ご契約を有するお客様

サードパーティのサポート会社をご利用のお客様

サービス契約をご利用でないお客様

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

この脆弱性はCisco内部テストによって発見されました。

本アドバイザリーは、以下のシスコのワールドワイドウェブサイト上に掲載されます。

http://www.cisco.com/warp/public/707/cisco-sa-20080924-iosfw.shtml

ワールドワイドのウェブ以外にも、次の電子メールおよび Usenet ニュースの受信者向けに、この通知のテキスト版がシスコ PSIRT PGP キーによるクリア署名つきで投稿されています。

• cust-security-announce@cisco.com
  
• first-bulletins@lists.first.org
  
• bugtraq@securityfocus.com
  
• vulnwatch@vulnwatch.org
  
• cisco@spot.colorado.edu
  
• cisco-nsp@puck.nether.net
  
• full-disclosure@lists.grok.org.uk
  
• comp.dcom.sys.cisco@newsgate.cisco.com
  

この通知に関する今後の最新情報は、いかなるものもシスコのワールドワイドウェブに掲載される予定です。しかしながら、前述のメーリングリストもしくは ニュースグループに 対し積極的に配信されるとは限りません。この問題に関心があるお客様は上記 URL にて最 新情報をご確認いただくことをお勧めいたします。この問題について心配するユーザはあらゆるアップデートがあるように上のURLを確認するように勧められます。

Cisco製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関する支援、およびCiscoからセキュリティ情報を入手するための登録方法について詳しく知るには、Ciscoワールドワイドウェブサイトの http://www.cisco.com/en/US/products/products_security_advisory09186a00809c2168.shtml にアクセスしてください。このページにはCiscoのセキュリティ通知に関してメディアが問い合わせる際の指示が掲載されています。全てのCiscoセキュリティアドバイザリは http://www.cisco.com/go/psirt で確認することができます。