Informational

アドバイザリーID : cisco-sa-20090114-http

初公開日 : 2009-06-19 16:00

バージョン 3.1 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco IOSÂ® Hypertext Transfer Protocol(HTTP)のクロスサイトスクリプティング(XSS)の脆弱性とクロスサイトリクエストフォージェリ(CSRF)の脆弱性が、3人の独立した研究者によってシスコに報告されています。ProCheckupは、「XSS on Cisco IOS HTTP Server」というタイトルのセキュリティアドバイザリをhttp://www.procheckup.com/vulnerability_manager/vulnerabilities/pr08-19で公開しています。

ProCheckUpのAdrian Pastor氏とRichard J. Brain氏、NTTデータセキュリティ株式会社の辻伸宏氏に対し、JPCertの協力に感謝いたします。

このCisco Security Responseは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090114-httpで公開されています。

追加情報

この応答は、Cisco IOS Hypertext Transfer Protocol(HTTP)サーバ内の3つの個別のクロスサイトスクリプティング（HTTPセキュアサーバを含みます。このサーバは純粋にHTTPサーバと呼ばれます）の脆弱性とクロスサイトリクエストフォージェリ(CSRF)の脆弱性を対象とし、HTTPサーバでHTTPベースのIOS EXECサーバを有効にしたCisco IOSソフトウェアバージョン11.0 ～ 1.4を2.4で4が4動作するすべてのシスコ製品にに適用されます。IOS HTTPサーバまたはHTTPセキュアサーバが含まれていても、有効になっていないシステムは影響を受けません。

HTTPサーバがデバイスで実行されているかどうかを確認するには、show ip http server status | include statusおよびshow ip http server secure status | include statusコマンドを使用して、次のような出力を探します。

Router#show ip http server status | include status

HTTP server status: Enabled

HTTP secure server status: Enabled

デバイスがHTTPサーバを実行していない場合は、次のような出力が表示されます。

Router#show ip http server status | include status

HTTP server status: Disabled

HTTP secure server status: Disabled

これらの脆弱性は、次のCisco Bug IDに記載されています。

- Cisco Bug ID CSCsi13344 - IOS HTTP ServerのXSS(登録ユーザ専用)

特殊文字は、HTTPサーバに送信されるURL文字列にはエスケープされません。

- Cisco Bug ID CSCsr72301 - IOS HTTPサーバのXSS（pingパラメータ）(登録ユーザ専用)

特殊文字は、pingパラメータを介してHTTPサーバに送信されるURL文字列にはエスケープされません。pingパラメータは、ルータやSecurity Device Manager(SDM)などの外部アプリケーションと、Cisco IOS httpサーバへの直接HTTPセッションの両方で使用されます。この脆弱性は、12.1Eベースのトレインおよび12.2(13)T以降のすべてのCisco IOSリリースに影響します。

- Cisco Bug ID CSCsv05154:Cisco IOS HTTP ServerがCSRF攻撃に対して脆弱(登録ユーザ専用)

HTTPベースのIOS EXECサーバが有効なCisco IOS HTTPサーバは、クロスサイトリクエストフォージェリ(CSRF)攻撃に対して脆弱です。これにより、悪意のあるユーザが、すでにログインしているユーザの特権でWebインターフェイスを介してデバイス上でコマンドを実行する可能性があります。

- Cisco Bug ID CSCsx49573 - Cisco IOS HTTP ServerのXSS(登録ユーザ専用)

これはCisco Bug ID CSCsi13344の拡張であり、HTTPベースのIOS EXECサーバに対して有効なCisco IOS HTTPサーバへのXSS攻撃に対する完全な修正は提供されませんでした。

これらの脆弱性は相互に関連していません。完全な解決策を得るには、すべてのCisco Bug IDの修正が含まれているCisco IOSバージョンをダウンロードします。これらの脆弱性には、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2008-3821が割り当てられています。

回避策：

HTTPサーバの無効化

HTTPサーバがデバイスで正当な目的に使用されていない場合は、コンフィギュレーションモードで次のコマンドを発行してHTTPサーバを無効にすることをお勧めします。

no ip http server

no ip http secure-server

HTTP WEB_EXECサービスの無効化

12.3(14)T以降では、選択的なHTTPおよびHTTPSサービスを有効または無効にできる機能が導入されました。WEB_EXECサービスは、ボックスを設定し、リモートクライアントからボックスの現在の状態を取得する機能を提供します。

他のHTTPサービスをアクティブのままにしたまま、WEB_EXECサービスを無効にすることができます。インストールでWEB_EXECサービスを使用する必要がない場合は、次の手順を使用して無効にすることができます。

1. すべてのセッションモジュールのリストを確認します。

Router#show ip http server session-module

HTTP server application session modules:

Session module Name  Handle Status   Secure-status  Description

HTTP_IFS              1      Active   Active         HTTP based IOS File Server

HOME_PAGE             2      Active   Active         IOS Homepage Server

QDM                   3      Active   Active         QOS Device Manager Server

QDM_SA                4      Active   Active         QOS Device Manager Signed Applet Server

WEB_EXEC              5      Active   Active         HTTP based IOS EXEC Server

IXI                   6      Active   Active         IOS XML Infra Application Server

IDCONF                7      Active   Active         IDCONF HTTP(S) Server

XSM                   8      Active   Active         XML Session Manager

VDM                   9      Active   Active         VPN Device Manager Server

XML_Api               10     Active   Active         XML Api

ITS                   11     Active   Active         IOS Telephony Service

ITS_LOCDIR            12     Active   Active         ITS Local Directory Search

CME_SERVICE_URL       13     Active   Active         CME Service URL

CME_AUTH_SRV_LOGIN    14     Active   Active         CME Authentication Server

IPS_SDEE              15     Active   Active         IOS IPS SDEE Server

tti-petitioner        16     Active   Active         TTI Petitioner

2. 必要なセッションモジュールのリストを作成します。この例では、WEB_EXEC以外のモジュールがすべて使用されます。

Router#configuration terminal

Router(config)#ip http session-module-list exclude_webexec

HTTP_IFS,HOME_PAGE,QDM,QDM_SA,IXI,IDCONF,XSM,VDM,XML_Api,

ITS,ITS_LOCDIR,CME_SERVICE_URL,CME_AUTH_SRV_LOGIN,IPS_SDEE,tti-petitioner

3. リモートクライアントからの着信HTTP要求を処理するHTTP/HTTPSアプリケーションを選択的に有効にします。

Router(config)#ip http active-session-modules exclude_webexec

Router(config)#ip http secure-active-session-modules exclude_webexec

Router(config)#exit

4. すべてのセッションモジュールのリストを確認し、WEB_EXECがアクティブでないことを確認します。

Router#show ip http server session-module

HTTP server application session modules:

Session module Name  Handle Status   Secure-status  Description

HTTP_IFS              1      Active   Active         HTTP based IOS File Server

HOME_PAGE             2      Active   Active         IOS Homepage Server

QDM                   3      Active   Active         QOS Device Manager Server

QDM_SA                4      Active   Active         QOS Device Manager Signed Applet Server

WEB_EXEC              5      Inactive Inactive       HTTP based IOS EXEC Server

IXI                   6      Active   Active         IOS XML Infra Application Server

IDCONF                7      Active   Active         IDCONF HTTP(S) Server

XSM                   8      Active   Active         XML Session Manager

VDM                   9      Active   Active         VPN Device Manager Server

XML_Api               10     Active   Active         XML Api

ITS                   11     Active   Active         IOS Telephony Service

ITS_LOCDIR            12     Active   Active         ITS Local Directory Search

CME_SERVICE_URL       13     Active   Active         CME Service URL

CME_AUTH_SRV_LOGIN    14     Active   Active         CME Authentication Server

IPS_SDEE              15     Active   Active         IOS IPS SDEE Server

tti-petitioner        16     Active   Active         TTI Petitioner

HTTPサーバまたはセキュアHTTPサーバを使用してアプリケーションを選択的にイネーブルにする方法の詳細については、Cisco IOSネットワーク管理設定ガイド、リリース12.4T(http://www.cisco.com/en/US/docs/ios/netmgmt/configuration/guide/nm_http_app_enable.html)を参照してください。

アクセス制御

HTTPサーバが必要な場合は、信頼できる送信元に対してのみHTTPサーバにアクセスできるホストを制御することが推奨されます。HTTPサーバにアクセスできるホストを制御するには、HTTPサーバにアクセスリストを適用します。アクセスリストをHTTPサーバに適用するには、グローバルコンフィギュレーションモードで次のコマンドを使用します。

ip http access-class {access-list-number | access-list-name}

次の例は、信頼できるホストだけがCisco IOS HTTPサーバにアクセスできるようにするアクセスリストを示しています。

ip access-list standard 20

permit 192.168.1.0 0.0.0.255

remark "Above is a trusted subnet"

remark "Add further trusted subnets or hosts below"

! (Note: all other access implicitly denied) ! (Apply the access-list to the http server)

ip http access-class 20

Cisco IOS HTTPサーバの設定の詳細については、『Cisco Webブラウザユーザインターフェイスの使用』を参照してください。

クロスサイトスクリプティング(XSS)攻撃と、これらの脆弱性を悪用する方法の詳細については、Cisco適用対応策速報『Understanding Cross-Site Scripting (XSS) Threat Vectors(クロスサイトスクリプティング(XSS)の脅威ベクトルについて)』を参照してください。https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20060922-understanding-xss。

問題の詳細説明

この脆弱性は、HTTPサーバに送信されるURL内の文字をエスケープすることに関するものです。この脆弱性は、Cisco Bug ID CSCsc64976(登録ユーザ専用)で報告されている脆弱性とは異なります。この脆弱性に対する修正は、Web execアプリケーションによって生成された応答にエコーされたURLストリング内の特殊文字をエスケープすることです。

ソフトウェア バージョンと修正

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

シスコでは現在、これらのCisco Bug IDをCisco IOSソフトウェアにパッチしています。修正済みリリースの最新バージョンを確認するには、Cisco Bug Toolkit https://sec.cloudapps.cisco.com/support/BugToolKit/action.do?hdnAction=searchBugsを参照するか、この応答の「Cisco Response」セクションにあるCisco Bug IDをクリックしてください。

シスコのセキュリティ手順

シスコ製品のセキュリティの脆弱性に関するレポート、セキュリティ障害に対する支援、およびシスコからのセキュリティ情報を受信するための登録に関するすべての情報は、シスコのワールドワイド ウェブサイト https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html から入手できます。この情報には、シスコのセキュリティ通知に関して、報道機関が問い合せる場合の説明も含まれています。すべての Cisco セキュリティ アドバイザリは、 http://www.cisco.com/go/psirt から入手できます。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090114-http

改訂履歴

バージョン

説明

セクション

日付

Revision 3.1

「HTTP WEB_EXECサービスの無効化」セクションを改訂。

2009年6月19日

リビジョン 3.0

追加情報とソフトウェアバージョンおよび修正の更新

2009年2月6日

Revision 2.0

ソフトウェアテーブルの更新

2009年1月23日

リビジョン 1.0

初版リリース

2009年1月14日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。