High

アドバイザリーID : cisco-sa-20090114-ironport

初公開日 : 2009-01-14 16:00

バージョン 1.0 : Final

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2009-0055

CVE-2009-0054

CVE-2009-0053

CVE-2009-0056

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

IronPort PXE Encryptionは、Eメール通信を保護するために設計されたEメール暗号化ソリューションです。受信システムに公開キーインフラストラクチャ(PKI)や特別なエージェントは必要ありません。電子メールメッセージが暗号化の対象になっている場合、IronPort電子メールゲートウェイ上のPXE暗号化エンジンは、元の電子メールメッセージをHTMLファイルとして暗号化し、受信者に送信される通知電子メールメッセージに添付します。HTMLファイル添付の復号化に使用されるメッセージごとのキーは、ローカルのIronPort暗号化アプライアンス、PostXソフトウェアインストール、またはシスコが管理するソフトウェアサービスであるCisco Registered Envelope Serviceに保存されます。

PXE暗号化プライバシーの脆弱性

IronPort PXE暗号化ソリューションは、権限のないユーザが安全な電子メールメッセージの内容を表示できる可能性がある2つの脆弱性の影響を受けます。この脆弱性を悪用するには、攻撃者はまずネットワーク上で、または侵害された電子メールアカウントを介して、セキュリティで保護された電子メールメッセージを傍受する必要があります。

IronPort暗号化アプライアンス管理インターフェイスの脆弱性

IronPort暗号化アプライアンスデバイスには2つの脆弱性があり、権限のないユーザがIronPort暗号化アプライアンス管理インターフェイスにアクセスし、他のユーザの設定を変更できる可能性があります。これらの脆弱性は、Cisco Registered Envelope Service(CRES)ユーザには影響しません。

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。このアドバイザリに記載されている脆弱性に対する回避策はありません。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090114-ironport で公開されています。

該当製品

脆弱性のある製品

次のIronPort暗号化アプライアンス/PostXバージョンは、これらの脆弱性の影響を受けます。

- 6.2.1.1より前のすべてのPostX 6.2.1バージョン

- 6.2.2.3より前のすべてのPostX 6.2.2バージョン

- 6.2.4.1.1より前のすべてのIronPort暗号化アプライアンス/PostX 6.2.4バージョン

- すべてのIronPort暗号化アプライアンス/PostX 6.2.5バージョン

- すべてのIronPort暗号化アプライアンス/PostX 6.2.6バージョン

- 6.2.7.7より前のすべてのIronPort暗号化アプライアンス/PostX 6.2.7バージョン

- 6.3.0.4より前のすべてのIronPort暗号化アプライアンス6.3バージョン

- 6.5.0.2より前のすべてのIronPort暗号化アプライアンス6.5バージョン

IronPort暗号化アプライアンスで実行されているソフトウェアのバージョンは、IronPort暗号化アプライアンス管理インターフェイスの[バージョン情報(About)]ページにあります。

注：お客様はIronPortサポートに問い合わせて、ご使用の環境に適したソフトウェア修正を確認する必要があります。詳細については、このアドバイザリの「修正済みソフトウェアの取得」セクションを参照してください。

脆弱性を含んでいないことが確認された製品

IronPort C、M、およびSシリーズアプライアンスは、これらの脆弱性の影響を受けません。Cシリーズアプライアンスは、メッセージごとのキー保持にローカルのIronPort暗号化アプライアンスを使用するように設定できますが、Cシリーズアプライアンスには脆弱性はありません。Cisco Registered Envelope Serviceには脆弱性はありません。

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

注：IronPortは、お客様が利用できない内部システムを使用してバグを追跡します。IronPortのバグトラッキングIDは、参照用にのみ提供されています。

PXE暗号化プライバシーの脆弱性

個々のPXE暗号化ユーザは、攻撃者が機密情報にアクセスできる可能性がある2つのメッセージプライバシーの脆弱性に対して脆弱です。すべての脆弱性は、攻撃者が不正利用に成功するための条件として、まず安全な電子メールメッセージを傍受する必要があります。攻撃者は、ネットワークまたは侵害されたユーザの電子メールアカウントを監視することで、安全な電子メールメッセージを取得できます。

IronPort暗号化アプライアンス(ESA)には、攻撃者が一意のメッセージ単位の復号化キーを取得できる可能性がある論理エラーが含まれています。このキーは、傍受されたセキュリティで保護された電子メールメッセージの内容を保護するために使用され、ユーザーの操作は不要です。攻撃者は、復号化キーを使用して、セキュアな電子メールメッセージの内容を復号化できます。この脆弱性は、IronPort Bug 8062で文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-0053が割り当てられています。

傍受されたセキュリティで保護された電子メールメッセージの内容を変更したり、電子メールメッセージのコピーを偽造したりすることによって、攻撃者は、変更されたセキュリティで保護された電子メールメッセージを見るようにユーザーを誘導し、ユーザーの資格情報とメッセージの内容を漏洩させる可能性があります。これらのフィッシング攻撃にさらされる可能性を減らすために利用できる対応策の詳細については、「回避策」のセクションを参照してください。この脆弱性は、IronPort Bug 8149で文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-0054が割り当てられています。

IronPort暗号化アプライアンス管理インターフェイスの脆弱性

IronPort暗号化アプライアンスデバイスの管理インターフェイスには、クロスサイトリクエストフォージェリ(CSRF)の脆弱性が存在します。この脆弱性により、攻撃者は、ユーザがIronPort暗号化アプライアンス管理インターフェイスにログインしている場合に、ユーザ名や個人セキュリティパスフレーズなど、ユーザのIronPort暗号化アプライアンス設定を変更できる可能性があります。この脆弱性が不正利用されると、攻撃者はユーザのパスワードを変更できなくなります。この脆弱性は、IronPort Bug 5806で文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-0055が割り当てられています。

IronPort暗号化アプライアンスデバイスの管理インターフェイスには、クロスサイトリクエストフォージェリ(CSRF)の脆弱性も存在します。この脆弱性により、攻撃者はコマンドを実行し、特定の状況下でIronPort暗号化アプライアンスの管理インターフェイスからログアウトしたときに、ユーザ名や個人セキュリティパスフレーズなど、ユーザのIronPort暗号化アプライアンス設定を変更できる可能性があります。この脆弱性が不正利用されると、攻撃者はユーザのパスワードを変更できなくなります。この脆弱性は、IronPort Bug 6403で文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-0056が割り当てられています。

回避策

このアドバイザリに記載されている脆弱性に対する回避策はありません。

PXE暗号化のフィッシングスタイルの脆弱性の不正利用を防ぐのに役立つ緩和策が用意されています。フィッシング攻撃は、IronPort電子メールゲートウェイにDomainKeys Identified Mail(DKIM)とSender Policy Framework(SPF)を実装して、メッセージの整合性と送信元の発信元を確保することで、大幅に削減できます。さらに、PXE暗号化ソリューションには、フィッシング対策のセキュアパスフレーズ機能が含まれており、セキュアな通知電子メールメッセージが有効であることを確認できます。この機能は、受信者がPXEユーザプロファイルを設定するときに有効になります。シスコは、次のリンクから入手できるフィッシングスタイルの攻撃を軽減する複数の手法を説明したベストプラクティスドキュメントをリリースしました。

http://www.cisco.com/web/about/security/intelligence/bpiron.html

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

J.B. BrintechのSnyder氏は、フィッシング型攻撃を通じてPXE暗号化ユーザのクレデンシャルを取得する方法をシスコに報告しました。

その他の脆弱性はすべて、シスコによって発見されたか、お客様から報告されたものです。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090114-ironport

改訂履歴

リビジョン 1.0

2009年1月14日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。