Critical

アドバイザリーID : cisco-sa-20080924-ubr

初公開日 : 2008-09-24 16:00

バージョン 1.1 : Final

CVSSスコア : 10.0

回避策 : No Workarounds available

Cisco バグ ID : CSCsg60220 CSCek57932

CVE-2008-3807

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco uBR10012シリーズデバイスでは、ラインカードの冗長性が設定されている場合、デバイスへのSimple Network Management Protocol(SNMP)読み取り/書き込みアクセスが自動的に有効になります。これは、攻撃者によってデバイスを完全に制御するために不正利用される可能性があります。ラインカードの冗長性が設定されているCisco uBR10012シリーズデバイスだけが影響を受けます。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性を軽減する回避策があります。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ubr で公開されています。

注：2008年9月24日のIOSアドバイザリバンドル公開には、12件のセキュリティアドバイザリが含まれています。11のアドバイザリはCisco IOSソフトウェアの脆弱性に対処し、1つのアドバイザリはCisco Unified Communications Managerの脆弱性に対処します。各アドバイザリには、このアドバイザリに記載されている脆弱性を修正するリリースが記載されています。

各ドキュメントへのリンクは次のとおりです。

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosips

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ssl

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-sip

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-cucm

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-vpn

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-mfi

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ipc

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ubr

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-multicast

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-sccp

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosfw

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-l2tp

該当製品

脆弱性のある製品

Cisco IOSを実行し、ラインカードの冗長性が設定されているCisco uBR10012シリーズデバイスが影響を受けます。Cisco uBR10012シリーズデバイスは、show versionコマンドを発行して識別できます。次の例は、Cisco IOSソフトウェアリリース12.3(17b)BC7を実行しているCisco uBR10012シリーズデバイスからの出力を示しています。

ubr10k#show version | include IOS

IOS (tm) 10000 Software (UBR10K-K8P6U2-M), Version 12.3(17b)BC7, RELEASE SOFTWARE (fc1)

ubr10k#

Cisco IOSリリースの命名規則の詳細については、『White Paper: Cisco IOS Reference Guide』というドキュメントを参照してください。このドキュメントは、次のリンク先で入手できます。http://www.cisco.com/warp/public/620/1.html

ラインカードの冗長性が設定されたCisco uBR10012シリーズデバイスには、show running-configコマンドの出力に次のような行があります。

member subslot <slot>/<card> working

または

hccp <group> protect <worker-member-id> <worker-ip-address>

下記の「ソフトウェアバージョンと修正」セクションに記載されているバージョンより前のCisco IOSのバージョンには、脆弱性が存在します。

脆弱性を含んでいないことが確認された製品

ラインカードの冗長性が設定されていないCisco uBR10012シリーズデバイスは影響を受けません。

Cisco 10000シリーズデバイスは、ラインカードの冗長性が設定されていても影響を受けません。

その他のuBRプラットフォームは影響を受けません。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco uBR10012シリーズデバイスは、ラインカードの冗長性を設定する際にRFスイッチと通信する必要があります。この通信はSNMP(Simple Network Management Protocol)に基づいています。Cisco uBR10012シリーズデバイスでラインカードの冗長性が有効になっている場合、SNMPは、読み取り/書き込み権限を持つデフォルトのコミュニティストリングprivateでも自動的に有効になります。このコミュニティストリングにはアクセス制限がないため、攻撃者によってデバイスを完全に制御するために悪用される可能性があります。

デフォルトのコミュニティストリングを変更するか、SNMPにアクセス制限を追加するか、またはその両方を行うと、この脆弱性が軽減されます。この両方を行うことが推奨される緩和策です。

この脆弱性は、Cisco Bug ID CSCek57932 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2008-3807が割り当てられています。

回避策

SNMPコミュニティストリングの変更とアクセスの制限

デフォルトでは、ラインカードの冗長性が設定されたCisco uBR10012シリーズデバイスは、privateのコミュニティストリングを使用します。このコミュニティストリングは、Cisco IOSバージョン12.3(13)BC以降で変更できます。コミュニティストリングを変更し、許可されたデバイスに対してのみデバイスへのSNMPアクセスを許可するアクセス制御制限を適用することを推奨します。

次の設定例では、コミュニティストリングの変更と、アクセスコントロールリスト(ACL)を使用したSNMPアクセスコントロール制限の追加に関する情報をオペレータに提供しています。

access-list 90 permit host <RF-Switch-IP-1>

access-list 90 permit host <RF-Switch-IP-2>

access-list 90 permit host <up-converter-IP-if-exists>

access-list 90 deny any

redundancy

linecard-group 1 cable

rf-switch snmp-community <RF-Switch-SNMP-community>

snmp-server community <RF-Switch-SNMP-community> rw 90

Cisco uBR10012デバイスでSNMPコミュニティを変更する場合は、RFスイッチでも変更する必要があります。これは、次のコマンドで変更できます。

set SNMP COMMUNITY <RF-Switch-SNMP-community>

ネットワークにアップコンバータがある場合は、アップコンバータで使用されるSNMPコミュニティも、Cisco uBR10012デバイスのコミュニティストリングを変更した後に変更する必要があります。アップコンバータで使用されるコミュニティストリングの変更については、次のリンクを参照してください。

http://www.cisco.com/en/US/tech/tk86/tk804/technologies_tech_note09186a00801f7622.shtml#communication

Cisco IOSバージョンがコミュニティストリングの変更をサポートしていない場合は、デフォルトのコミュニティストリングにアクセス制御の制限を適用できます。次の設定例では、デフォルトのコミュニティストリングにアクセス制御制限を適用する方法について説明します。

access-list 90 permit host <RF-Switch-IP-1>

access-list 90 permit host <RF-Switch-IP-2>

access-list 90 permit host <up-converter-IP-if-exists>

access-list 90 deny any

snmp-server community private rw 90

ネットワーク境界でのインフラストラクチャACLの使用

ネットワークを通過するトラフィックをブロックするのは困難な場合が多いですが、インフラストラクチャデバイスを標的にしてはならないトラフィックを特定し、ネットワークの境界でそのトラフィックをブロックすることは可能です。iACLはネットワークセキュリティのベストプラクティスであり、優れたネットワークセキュリティへの長期的な付加機能として、また、この特定の脆弱性に対する回避策として考慮する必要があります。次に示すiACLの例は、インフラストラクチャIPアドレスの範囲内にあるIPアドレスを持つすべてのデバイスを保護する、導入されたインフラストラクチャアクセスリストの一部として含める必要があります。

!-- Permit SNMP (UDP port 161) packets from trusted hosts

!-- destined to infrastructure addresses.

!

access-list 150 permit udp TRUSTED_HOSTS MASK INFRASTRUCTURE_ADDRESSES MASK eq 161

!

!-- Deny SNMP (UDP port 161) packets from all other sources

!-- destined to infrastructure addresses.

!

access-list 150 deny udp any INFRASTRUCTURE_ADDRESSES MASK eq 161

!

!-- Permit/deny all other Layer 3 and Layer 4 traffic in

!-- accordance with existing security policies and

!-- configurations.

!

!-- Permit all other traffic to transit the device.

!

access-list 150 permit ip any any

!

!-- Apply iACL to interfaces in the ingress direction.

!

interface GigabitEthernet0/0

ip access-group 150 in

!

ホワイトペーパー『Protecting Your Core: Infrastructure Protection Access Control Lists』では、インフラストラクチャ保護アクセスリストのガイドラインと推奨される導入方法について説明しています。この White Paper は次のサイトで提供されています。

http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801a1a55.shtml

その他の軽減方法

ネットワーク内のCiscoデバイスに導入できる追加の緩和テクニックについては、このアドバイザリに関連するCisco適用対応策速報を参照してください。このドキュメントは次のリンクから入手できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20080924-ipc-and-ubr

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、Cisco IOS のリリース トレインが記載されています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（および、それぞれの予想提供日）が表の「第 1 修正済みリリース」列に記載されます。「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。

メジャー リリース

修正済みリリースの入手可能性

Affected 12.0-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

該当する 12.0 ベースのリリースはありません。

Affected 12.1-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

該当する 12.1 ベースのリリースはありません。

Affected 12.2-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.2

脆弱性なし

12.2B

脆弱性なし

12.2BC

脆弱性あり。12.3の任意のリリースに移行

12.2(33)SCA1

12.3(23)BC4

12.4(15)T7

12.4(18c)

12.2BW

脆弱性なし

12.2BX

脆弱性なし

12.2BY

脆弱性なし

12.2BZ

脆弱性なし

12.2CX

脆弱性あり。12.3の任意のリリースに移行

12.2(33)SCA1

12.3(23)BC4

12.4(15)T7

12.4(18c)

12.2CY

脆弱性あり。12.3の任意のリリースに移行

12.2(33)SCA1

12.3(23)BC4

12.4(15)T7

12.4(18c)

12.2CZ

脆弱性なし

12.2DA

脆弱性なし

12.2DD

脆弱性なし

12.2DX

脆弱性なし

12.2EW

脆弱性なし

12.2EWA

脆弱性なし

12.2EX

脆弱性なし

12.2EY

脆弱性なし

12.2EZ

脆弱性なし

12.2FX

脆弱性なし

12.2FY

脆弱性なし

12.2FZ

脆弱性なし

12.2IRB

脆弱性なし

12.2IXA

脆弱性なし

12.2IXB

脆弱性なし

12.2IXC

脆弱性なし

12.2IXD

脆弱性なし

12.2IXE

脆弱性なし

12.2IXF

脆弱性なし

12.2IXG

脆弱性なし

12.2JA

脆弱性なし

12.2JK

脆弱性なし

12.2MB

脆弱性なし

12.2MC

脆弱性なし

12.2S

脆弱性なし

12.2SB

脆弱性なし

12.2SBC

脆弱性なし

12.2SCA

脆弱性なし

12.2SE

脆弱性なし

12.2SEA

脆弱性なし

12.2SEB

脆弱性なし

12.2SEC

脆弱性なし

12.2SED

脆弱性なし

12.2SEE

脆弱性なし

12.2SEF

脆弱性なし

12.2SEG

脆弱性なし

12.2SG

脆弱性なし

12.2SGA

脆弱性なし

12.2SL

脆弱性なし

12.2SM

脆弱性なし

12.2SO

脆弱性なし

12.2SRA

脆弱性なし

12.2SRB

脆弱性なし

12.2SRC

脆弱性なし

12.2SU

脆弱性なし

12.2SV

脆弱性なし

12.2SVA

脆弱性なし

12.2SVC

脆弱性なし

12.2SVD

脆弱性なし

12.2SW

脆弱性なし

12.2SX

脆弱性なし

12.2SXA

脆弱性なし

12.2SXB

脆弱性なし

12.2SXD

脆弱性なし

12.2SXE

脆弱性なし

12.2SXF

脆弱性なし

12.2SXH

脆弱性なし

12.2SY

脆弱性なし

12.2SZ

脆弱性なし

12.2T

脆弱性なし

12.2TPC

脆弱性なし

12.2XA

脆弱性なし

12.2XB

脆弱性なし

12.2XC

脆弱性なし

12.2XD

脆弱性なし

12.2XE

脆弱性なし

12.2XF

脆弱性あり。12.3の任意のリリースに移行

12.2(33)SCA1

12.3(23)BC4

12.4(15)T7

12.4(18c)

12.2XG

脆弱性なし

12.2XH

脆弱性なし

12.2XI

脆弱性なし

12.2XJ

脆弱性なし

12.2XK

脆弱性なし

12.2XL

脆弱性なし

12.2XM

脆弱性なし

12.2XN

脆弱性なし

12.2XNA

脆弱性なし

12.2XNB

脆弱性なし

12.2XO

脆弱性なし

12.2XQ

脆弱性なし

12.2XR

脆弱性なし

12.2XS

脆弱性なし

12.2XT

脆弱性なし

12.2XU

脆弱性なし

12.2XV

脆弱性なし

12.2XW

脆弱性なし

12.2YA

脆弱性なし

12.2YB

脆弱性なし

12.2YC

脆弱性なし

12.2YD

脆弱性なし

12.2YE

脆弱性なし

12.2YF

脆弱性なし

12.2YG

脆弱性なし

12.2YH

脆弱性なし

12.2YJ

脆弱性なし

12.2YK

脆弱性なし

12.2YL

脆弱性なし

12.2YM

脆弱性なし

12.2YN

脆弱性なし

12.2YO

脆弱性なし

12.2YP

脆弱性なし

12.2YQ

脆弱性なし

12.2YR

脆弱性なし

12.2YS

脆弱性なし

12.2YT

脆弱性なし

12.2YU

脆弱性なし

12.2YV

脆弱性なし

12.2YW

脆弱性なし

12.2YX

脆弱性なし

12.2YY

脆弱性なし

12.2YZ

脆弱性なし

12.2ZA

脆弱性なし

12.2ZB

脆弱性なし

12.2ZC

脆弱性なし

12.2ZD

脆弱性なし

12.2ZE

脆弱性なし

12.2ZF

脆弱性なし

12.2ZG

脆弱性なし

12.2ZH

脆弱性なし

12.2ZJ

脆弱性なし

12.2ZL

脆弱性なし

12.2ZP

脆弱性なし

12.2ZU

脆弱性なし

12.2ZX

脆弱性なし

12.2ZY

脆弱性なし

12.2ZYA

脆弱性なし

Affected 12.3-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.3

脆弱性なし

12.3B

脆弱性なし

12.3BC

12.3(17b)BC8

12.3(21)BC

12.3(23)BC4

12.3BW

脆弱性なし

12.3EU

脆弱性なし

12.3JA

脆弱性なし

12.3JEA

脆弱性なし

12.3JEB

脆弱性なし

12.3JEC

脆弱性なし

12.3JK

脆弱性なし

12.3JL

脆弱性なし

12.3JX

脆弱性なし

12.3T

脆弱性なし

12.3TPC

脆弱性なし

12.3VA

脆弱性なし

12.3XA

脆弱性なし

12.3XB

脆弱性なし

12.3XC

脆弱性なし

12.3XD

脆弱性なし

12.3XE

脆弱性なし

12.3XF

脆弱性なし

12.3XG

脆弱性なし

12.3XI

脆弱性なし

12.3XJ

脆弱性なし

12.3XK

脆弱性なし

12.3XL

脆弱性なし

12.3XQ

脆弱性なし

12.3XR

脆弱性なし

12.3XS

脆弱性なし

12.3XU

脆弱性なし

12.3XW

脆弱性なし

12.3XX

脆弱性なし

12.3XY

脆弱性なし

12.3XZ

脆弱性なし

12.3YA

脆弱性なし

12.3YD

脆弱性なし

12.3YF

脆弱性なし

12.3YG

脆弱性なし

12.3YH

脆弱性なし

12.3YI

脆弱性なし

12.3YJ

脆弱性なし

12.3YK

脆弱性なし

12.3YM

脆弱性なし

12.3YQ

脆弱性なし

12.3YS

脆弱性なし

12.3YT

脆弱性なし

12.3YU

脆弱性なし

12.3YX

脆弱性なし

12.3YZ

脆弱性なし

12.3ZA

脆弱性なし

Affected 12.4-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

該当する 12.4 ベースのリリースはありません。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性はシスコ内部で発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ubr

改訂履歴

リビジョン 1.1

2009年4月16日

結合されたソフトウェアテーブルへの参照が古くなったため、削除されました。

リビジョン 1.0

2008年9月24日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。