High

アドバイザリーID : cisco-sa-20090325-ip

初公開日 : 2009-03-25 00:00

バージョン 1.1 : Final

CVSSスコア : 7.8

回避策 : No Workarounds available

Cisco バグ ID : CSCsm27071

CVE-2009-0630

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

IP ソケットの処理の脆弱性は時の Cisco IOS の複数の機能 デバイスを DoS攻撃に脆弱にする場合がありますか。 ソフトウェアは有効に なります。 特別に 巧妙に細工された TCP/IP パケットのシーケンスによりの次の結果引き起こす可能性があります:

- 設定された特性は新しい接続かセッションを受け入れることを止めるかもしれません。

- デバイスのメモリは消費されるかもしれません。

- デバイスは延長された CPU使用率が高い状態を経験するかもしれません。

- デバイスはリロードするかもしれません。

シスコはこの脆弱性に対処するソフトウェア アップデートをリリースしました。

複数の軽減戦略はこのアドバイザリの「回避策」セクションで説明されています。

このアドバイザリは http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-ip で掲示されます。

注: 2009 年 3月 25 日、Cisco IOS セキュリティ アドバイザリによって組み込まれる書は 8 つのセキュリティ アドバイザリが含まれています。 アドバイザリすべては Cisco IOSソフトウェアの脆弱性に対処します。 各アドバイザリはリリースをリストしますアドバイザリの脆弱性を解決する。

各ドキュメントへのリンクは次のとおりです。

- Cisco IOS cTCP サービス拒否の脆弱性

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-ctcp

- Cisco IOSソフトウェア倍数は IP ソケット脆弱性を特色にします

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-ip

- Cisco IOSソフトウェア モバイル IP およびモービル IPv6 脆弱性

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-mobileip

- Cisco IOSソフトウェア Secure Copy（SCP） 特権 拡大脆弱性

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-scp

- Cisco IOSソフトウェア Session Initiation Protocol（SIP） サービス拒否の脆弱性

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-sip

- Cisco IOSソフトウェア複数の機能によって細工 される TCP シーケンス脆弱性

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-tcp

- Cisco IOSソフトウェア複数の機能 巧妙に細工された UDP パケットの脆弱性

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-udp

- Cisco IOSソフトウェア WebVPN および SSLVPN 脆弱性

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-webvpn

該当製品

脆弱性のある製品

Cisco IOSソフトウェアおよび Cisco IOS XE ソフトウェアの影響を受けたバージョンを実行しているデバイスはの次の機能実行する場合影響を受けています。 影響を受けた機能がデバイスで有効に なるかどうかの確認についての詳細はこのアドバイザリの" Details " セクションにあります。

- Cisco Unified Communications Manager Express

- Transport Layer Security （TLS）転送する上の SIP シグナルサポート

- シグナリングおよびメディア暗号化を保護して下さい

- ブロック拡張可能な交換 プロトコル（発信音）

- ネットワーク アドミッション コントロール HTTP認証 プロキシ

- EAPoUDP、Dot1x および MAC 認証 バイパスのためのユーザごとの URL リダイレクト

- HTTP リダイレクトの Distributed Director

- DNS （TCP モードだけ）

Cisco製品で動作している Cisco IOS ソフトウェア リリース、管理者をログイン判別し、システムバナーを表示する " show version " コマンドを発行することはデバイスにできます。 "Internetwork Operating System Software"、"Cisco IOS Software" あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。 その後ろにイメージ名が括弧の間に表示され、続いて "Version" と Cisco IOS ソフトウエア リリース名が表示されます。 他の Ciscoデバイスに" show version " コマンドがありませんし、別の出力を提供しないかもしれません。

以下の例は、Cisco 製品にて、IOSリリース 12.3(26) が稼動し、そのイメージ名が C2500-IS-L であることを示しています:

Router#show version

Cisco Internetwork Operating System Software

IOS (tm) 2500 Software (C2500-IS-L), Version 12.3(26), RELEASE SOFTWARE (fc2)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2008 by cisco Systems, Inc.

Compiled Mon 17-Mar-08 14:39 by dchih

<output truncated>

以下の例は、Cisco 製品にて、IOSリリース 12.4(20)T が稼動し、そのイメージ名が C1841-ADVENTERPRISEK9-M であることを示しています:

Router#show version

Cisco IOS Software, 1841 Software (C1841-ADVENTERPRISEK9-M), Version 12.4(20)T, RELEASE SOFTWARE (fc3)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2008 by Cisco Systems, Inc.

Compiled Thu 10-Jul-08 20:25 by prod_rel_team

<output truncated>

Cisco IOS ソフトウエアのリリース命名規則の追加情報は以下のリンクの "White Paper: Cisco IOS Reference Guide" で確認できます: http://www.cisco.com/web/about/security/intelligence/ios-ref.html。

脆弱性を含んでいないことが確認された製品

次の製品は、この脆弱性の影響を受けません。

- Cisco IOS XR ソフトウェア

- Cisco 500 シリーズ ワイヤレス アクセス ポイント

- Cisco Aironet 1250 シリーズ

- Cisco Aironet 1240 AG シリーズ

- Cisco Aironet 1230 AG シリーズ

- Cisco Aironet 1200 シリーズ

- Cisco Aironet 1140 シリーズ

- Cisco Aironet 1130 AG シリーズ

- Cisco Aironet 1100 シリーズ

- Cisco Aironet 1500 シリーズ

- Cisco Aironet 1400 シリーズ

- Cisco Aironet 1300 シリーズ

- Cisco AP801 （860 および 880 シリーズ ISR で）

- Cisco WMIC （Cisco 3200 Mars で）

Cisco IOS で設定されるその他のCisco製品か機能または Cisco IOS XE ソフトウェアは現在この脆弱性から影響を受けるために知られていません。

詳細

この脆弱性の不正利用の成功に関しては、TCP 3 ウェイ ハンドシェイクはこのセクションに説明がある機能の何れかのための関連する TCPポート番号に完了する必要があります。

Cisco Unified Communications Manager Express

次のコンフィギュレーションは異なる Cisco Unified Communications Manager Express な サービスのために脆弱です:

認証局 プロキシ 機能（CAPF）サーバは設定されました。

次の例は脆弱 な CAPF サーバコンフィギュレーションを示したものです:

capf-server

auth-mode null-string

cert-enroll-trustpoint root password 1 104D000A061843595F

trustpoint-label cme_cert

source-addr 10.0.0.1

CAPF サーバのために使用されるデフォルト TCPポートは 3804 です。

CAPF サーバについてのより詳しい 情報は http://www.cisco.com/en/US/docs/voice_ip_comm/cucme/admin/configuration/guide/cmeauth.html#wp1085744 に Cisco Unified Communications Manager Express な システム アドミニストレータ ガイドにあります。

Telephony-service セキュリティパラメータは設定されました。

telephony-service セキュリティパラメータが「デバイス セキュリティ モード」で設定される場合、デバイスは脆弱です。 次の例は telephony-service セキュリティパラメータのための 3 脆弱 な コンフィギュレーションを示したものです:

ephone 1

device-security-mode encrypted

ephone 2

device-security-mode authenticated

ephone 3

device-security-mode none

使用される TCPポートは「IPソースアドレス <address> ポート <port-number>」telephony-service 設定コマンドで定義されます。

Telephony-service セキュリティパラメータについてのより詳しい 情報は http://www.cisco.com/en/US/docs/voice_ip_comm/cucme/admin/configuration/guide/cmeauth.html#wp1080079 に Cisco Unified Communications Manager Express な システム アドミニストレータ ガイドにあります。

グローバル な telephony-service か call-manager-fallback コマンドは設定されました。

どのサブコマンドでも telephony-service か call-manager-fallback コンフィギュレーションモードにある場合グローバル な「telephony-service」または「call-manager-fallback」コマンドでどの Cisco IOSコンフィギュレーションでも脆弱です。 次の例は脆弱 な コンフィギュレーションを示します:

telephony-service

ip source-address 192.168.0.1 port 2011

または

call-manager-fallback

ip source-address 192.168.0.1 port 2011

使用される TCPポートは「IPソースアドレス <address> ポート <port-number>」設定コマンドで定義されます。

テレフォニーサービスおよび call-manager-fallback についてのより詳しい 情報は http://www.cisco.com/en/US/docs/voice_ip_comm/cucme/admin/configuration/guide/cmesystm.html に Cisco Unified Communications Manager Express な システム アドミニストレータ ガイドにあります。

TLS 転送する上の SIP シグナルサポート

注: SIP と有効に なる デバイスを持つ顧客向けにまた文書「Cisco Security Advisory 参照して下さい: 次のリンク http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-sip の Cisco IOS Session Initiation Protocol（SIP） サービス拒否の脆弱性」。

TLS 転送する上の SIP シグナルサポートのために設定されるデバイスは脆弱です。 次の例は脆弱 な コンフィギュレーションを示します:

voice service voip

sip

session transport tcp tls

url sips

-- または --

dial-peer voice 3456 voip

voice-class sip url sips

session protocol sipv2

session transport tcp tls

正しく機能する TLS 転送する上の SIP シグナルサポートに関しては管理者は次の設定を使用して最初にトラストポイントを設定する必要があります:

sip-ua

crypto signaling default trustpoint example_trustpoint_name

TLS 転送する 機能上の SIP シグナルサポートのために使用されるデフォルト TCPポートは 5061 です。

TLS 転送する上の Cisco IOS SIP シグナルサポートについてのより詳しい 情報は http://www.cisco.com/en/US/docs/ios/12_4t/12_4t11/FeatTLS.html に Cisco IOS ソフトウェア リリース 12.4T 機能ガイドにあります。

シグナリングおよびメディア暗号化を保護して下さい

デバイスは DSP ファーム 会議機能のメディアおよびシグナリング 暗号化（SRTP/TLS）でまたは Skinny Client Control Protocol（SCCP）のアナログ式電話のためのセキュア シグナリングおよびメディア暗号化で設定される場合脆弱です。

次の例は 3 脆弱 なセキュア DSP ファーム コンフィギュレーションを示します。 すべてのコンフィギュレーションに他の複数の部品が、証明書および SCCP 設定のような必要となりますが、これらの部品は簡略にするために除かれました。

dspfarm profile 2 transcode security

trustpoint 2851ClientMina

codec g711ulaw

codec g711alaw

codec g729ar8

codec g729abr8

codec gsmfr

codec g729r8

codec g729br8

maximum sessions 3

associate application SCCP

dspfarm profile 3 conference security

trustpoint sec2800-cfb

codec g711ulaw

codec g711alaw

codec g729ar8

codec g729abr8

codec g729r8

codec g729br8

maximum sessions 2

associate application SCCP

dspfarm profile 5 mtp security

trustpoint 2851ClientMina

codec g711alaw

maximum sessions hardware 1

associate application SCCP

DSP ファーム 会議機能のメディアおよびシグナリング 暗号化のために使用されるデフォルト TCPポートは 2443 あります。

DSP ファーム 会議機能のメディアおよびシグナリング 暗号化についてのより詳しい 情報は次のリンク http://www.cisco.com/en/US/docs/ios/12_4t/12_4t15/itsdsp.html に「特派員および早い配置機能ガイドに」Cisco IOS ソフトウェア リリース 12.4 あります。

アナログ式電話のためのセキュア シグナリングおよびメディア暗号化の関連セクションを以下に示し、脆弱 な 設定ものです（証明書、SCCP 設定およびダイヤル ピアのようなすべてのコンフィギュレーションに他の複数の部品が、必要となります）:

!--- The following lines show SCCP Telephony Control Application

!--- (STCAPP) security enabled at the system level:

stcapp ccm-group 1

stcapp security trustpoint analog

stcapp security mode encrypted

stcapp

<-- output removed for brevity -->

dial-peer voice 5002 pots

service stcapp

!--- The following line shows the security mode configured on the

!--- dial peer.

security mode authenticated

port 2/1

アナログ式電話のメディアおよびシグナリング 暗号化のために使用されるデフォルト TCPポートは 2443 あります。

アナログ式電話のためのメディアおよびシグナリング 暗号化についてのより詳しい 情報は次のリンク http://www.cisco.com/en/US/docs/ios/voice/fxs/configuration/guide/fsxsecur.html で「FXS ポート IOS音声ゲートウェイ コンフィギュレーション ガイド用の補助サービス 機能に、リリースします 12.4T" を on Cisco あります。

ブロック拡張可能な交換 プロトコル

転送 プロトコルが脆弱であるのでレバレッジが拡張可能な交換 プロトコル（発信音）をブロックすること設定か executable コマンド。 次の例は発信音上の機能 NETCONF の脆弱 な 設定を示したものです。 SASL を使用して発信音上の NETCONF はまた脆弱です。

crypto key generate rsa general-keys

crypto pki trustpoint my_trustpoint

enrollment url http://10.2.3.3:80

subject-name CN=dns_name_of_host.com

revocation-check none

crypto pki authenticate my_trustpoint

crypto pki enroll my_trustpoint

line vty 0 15

netconf lock-time 60

netconf max-sessions 16

netconf beep initiator host1 23 user my_user password

my_password encrypt my_trustpoint

reconnect-time 60

netconf beep listener 23 sasl user1 encrypt my_trustpoint

使用される TCPポートは「netconf 発信音発信側」および「netconf 発信音リスナー」設定コマンドで定義されます。

発信音上の NETCONF についてのより詳しい 情報は次のリンク http://www.cisco.com/en/US/docs/ios/12_4t/12_4t11/htnetbe.html#wp1049404 に「Cisco IOS ソフトウェア リリース 12.4T 機能ガイドに」あります。

呼び出されるとき発信音 executable コマンド「bingd」および「bingng」はこの脆弱性を引き起こします可能性があります。 以下は実行されるこれらのコマンドの例を示します:

bingng device 192.168.0.1 23

bingd device 23

ネットワーク アドミッション コントロール HTTP認証 プロキシ

ネットワーク アドミッション コントロール HTTP認証 プロキシで設定されるデバイスは脆弱です。 デバイスに関しては認証プロキシ ルール脆弱であることはインターフェイスにあり、適用する必要があります。

次の設定は認証プロキシ ルールを作成します。

ip admission name example-ap-rule-name proxy http

次の設定はインターフェイスに認証プロキシ ルールを（前例で作成される）接続します。

interface GigabitEthernet 0/0

ip admission example-ap-rule-name

ネットワーク アドミッション コントロール HTTP認証 プロキシのために使用されるデフォルト TCPポートは 80 です。

ネットワーク アドミッション コントロール HTTP認証 プロキシについてのより詳しい 情報は次のリンク http://www.cisco.com/en/US/docs/ios/security/configuration/guide/sec_net_admssn_ctrl_external_docbase_0900e4b1805b0530_4container_external_docbase_0900e4b1807b01dc.html#wp1053991 で「Cisco IOS セキュリティ コンフィギュレーション ガイドに、リリースします 12.4" をあります。

EAPoUDP、Dot1x および MAC 認証 バイパスのためのユーザごとの URL リダイレクト

設定される URL リダイレクト 機能を備えているデバイスは脆弱です。 URL リダイレクトは UDP （EAPoUDP）、Dot1x および MAC 認証 バイパス（MAB）認証機構上の EAP のためにサポートされます。 URL リダイレクト 設定はローカルで定義されたプロファイルの一部としてサーバかセットアップでまたはポリシーある場合もあります。 コンフィギュレーションは両方とも脆弱です。 デバイスは次のコンフィギュレーションのどちらかと脆弱です。

EAPoUDP のために有効に なる URL リダイレクト 機能

URL リダイレクト 機能は次のグローバル 設定 コマンドで EAPoUDP のために有効に なります:

ip admission name <EAPoUDP-rule-name> eapoudp

次の設定はインターフェイスに EAPoUDP ルールを（前例で作成される）接続します。

ip admission name <EAPoUDP-rule-name>

Dot1x および MAB のために有効に なる URL リダイレクト 機能

Dot1x および MAB 両方のための URL リダイレクト 機能は脆弱で、次に類似したのメソッドで定義される RADIUSサーバの URL リダイレクト AVペアがあります:

url-redirect="http://example.com"

url-redirect="urlacl"

スイッチで正常に動作する Dot1x および MAB URL リダイレクト 機能に関してはまた最小続く設定が必要となります。 URL リダイレクトのためのインターフェース別 設定がありません。 基本的にはインターフェイスは Dot1x/MAB のために設定されなければなりません。

ip http {server | secure-server}

ip device tracking

EAPoUDP、Dot1x および MAB のユーザごとの URL リダイレクトのために使用されるデフォルト TCPポートは 80 および 443 です。

EAPoUDP、Dot1x および MAB のためのユーザごとの URL リダイレクトについてのより詳しい 情報は「Catalyst 4500 シリーズ スイッチ ソフトウェア コンフィギュレーション ガイドに、次のリンク http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.2/50sg/configuration/guide/dot1x.html#wp1311079 の 12.2(50)SG" あります。

HTTP リダイレクトの Distributed Director

デバイスは Distributed Director が HTTP リダイレクトで設定される場合脆弱です。 次の例は脆弱 な 設定を示したものです:

ip director ip-address 192.168.0.1

HTTP リダイレクトと Distributed Director のために使用されるデフォルト TCPポートは 53 です。

HTTP リダイレクトの Distributed Director についてのより詳しい 情報は次のリンク http://www.cisco.com/en/US/products/hw/contnetw/ps813/products_tech_note09186a00801fa9dd.shtml#topic8b に「Distributed Director 設定例 概要に」あります。

DNS

Cisco IOS DNS 機能で設定されるデバイスは脆弱です。 UDP 実装上の純粋な DNS は脆弱ではないです。 デバイスに TCPトラフィック上の DNS のフィルタリングについての情報についてはこのアドバイザリの「回避策」セクションを参照して下さい。 次の例のコマンドのうちのどれかがデバイスコンフィギュレーションに現われる場合、デバイスは脆弱です:

ip dns server

ip dns primary example.com soa www.example.com admin@example.com

ip dns spoofing 192.168.0.1

DNS のために使用されるデフォルト TCPポートは 53 です。

Cisco IOS DNS についてのより詳しい 情報は次のリンク http://www.cisco.com/en/US/docs/ios/ipaddr/configuration/guide/iad_config_dns_ps6350_TSD_Products_Configuration_Guide_Chapter.html でサービスにコンフィギュレーション ガイドを当たる「Cisco IOS IP にリリースします 12.4" をあります。

この脆弱性は次の Cisco バグ ID で文書化されています: CSCsm27071 （登録ユーザのみ）およびよくある脆弱性および公開（CVE）識別 CVE-2009-0630 は割り当てられました。

回避策

次の軽減はこの脆弱性のために識別されました:

インフラストラクチャ アクセス コントロール リスト

ネットワークを通過するトラフィックを遮断することはしばしば困難ですが、インフラストラクチャ デバイスをターゲットとした許可すべきではないトラフィックを特定し、そのようなトラフィックをネットワークの境界で遮断することは可能です。 Infrastructure Access Control Lists (iACLs) は、ネットワークセキュリティのベストプラクティスであり、特定の脆弱性に対する回避策であると同時に長期に渡って役立つネットワークセキュリティを付加することができます。 以下の iACL の例は、Infrastructure access-list の一部として設定されるべきであり、インフラストラクチャ IP アドレスの範囲に含まれる IP アドレスを持つ全ての機器を防御します:

!--- Only sections pertaining to features enabled on the device

!--- need be configured.

!---

!--- Feature: Cisco Unified Communications Manager Express

!---

!--- CAPF server configuration

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

INFRASTRUCTURE_ADDRESSES WILDCARD eq 3804

!---

!--- Telephony-Service configuration

!--- The TCP port is as per the ip source-address

!--- <ip-address> port <port-number> telephony

!--- service configuration command.  Example below 2999

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

INFRASTRUCTURE_ADDRESSES WILDCARD eq 2999

!---

!--- Deny Cisco Unified Communications Manager Express traffic

!--- from all other sources destined to infrastructure addresses.

!---

access-list 150 deny tcp any

INFRASTRUCTURE_ADDRESSES WILDCARD eq 3804

access-list 150 deny tcp any

INFRASTRUCTURE_ADDRESSES WILDCARD eq 2999

!---

!--- Feature: SIP Gateway Signaling Support Over TLS Transport

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

INFRASTRUCTURE_ADDRESSES WILDCARD eq 5061

!--- Deny SIP Gateway Signaling Support Over TLS Transport

!--- traffic from all other sources destined to infrastructure

!--- addresses.

access-list 150 deny tcp any

INFRASTRUCTURE_ADDRESSES WILDCARD eq 5061

!---

!--- Feature: Secure Signaling and Media Encryption

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

INFRASTRUCTURE_ADDRESSES WILDCARD eq 2443

!--- Deny Secure Signaling and Media Encryption traffic from all

!--- other sources destined to infrastructure addresses.

access-list 150 deny tcp any

INFRASTRUCTURE_ADDRESSES WILDCARD eq 2443

!---

!--- Feature: Blocks Extensible Exchange Protocol (BEEP)

!--- The TCP port used is defined with the netconf beep initiator

!--- and netconf beep listener configuration

!--- commands.  This example uses 3001

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

INFRASTRUCTURE_ADDRESSES WILDCARD eq 3001

!--- Deny BEEP traffic from all other sources destined to

!--- infrastructure addresses.

access-list 150 deny tcp any

INFRASTRUCTURE_ADDRESSES WILDCARD eq 3001

!---

!--- Feature: Network Admission Control HTTP Authentication Proxy

!--- and

!--- Per-user URL Redirect for EAP over UDP, Dot1x and MAC

!--- Authentication Bybass

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

INFRASTRUCTURE_ADDRESSES WILDCARD eq 80

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

INFRASTRUCTURE_ADDRESSES WILDCARD eq 443

!---

!--- Deny Network Admission Control HTTP Authentication Proxy

!--- and

!--- Per-user URL Redirect for EAP over UDP, Dot1x and MAC

!--- Authentication Bybass traffic to infrastructue

!---

access-list 150 deny tcp any

INFRASTRUCTURE_ADDRESSES WILDCARD eq 80

access-list 150 deny tcp any

INFRASTRUCTURE_ADDRESSES WILDCARD eq 443

!---

!--- Features: Distributed Director with HTTP Redirects and DNS

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

INFRASTRUCTURE_ADDRESSES WILDCARD eq 53

!--- Deny Distributed Director with HTTP Redirects traffic and DNS

!--- from all other sources destined to infrastructure addresses.

access-list 150 deny tcp any

INFRASTRUCTURE_ADDRESSES WILDCARD eq 53

!--- Permit/deny all other Layer 3 and Layer 4 traffic in

!--- accordance with existing security policies and configurations

!--- Permit all other traffic to transit the device.

access-list 150 permit ip any any

!--- Apply access-list to all interfaces (only one example shown)

interface serial 2/0

ip access-group 150 in

ホワイトペーパー 『Protecting Your Core: Infrastructure Protection Access Control Lists (ACL) には、インフラストラクチャ保護アクセス リストに関するガイドラインと推奨配備方法が記載されています。 この白書は次のリンク http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801a1a55.shtml で得ることができます

レシーブ ACL （rACL）

分散型のプラットフォームにおいては、Cisco12000 シリーズ(GSR) では 12.0(21)S2、 Cisco7500 シリーズでは 12.0(24)S、Cisco10720 シリーズでは 12.0(31)S の IOS ソフトウェアにてサポートされている Receive ACL も選択肢となります。 受信 ACL は、ルート プロセッサが有害なトラフィックの影響を受ける前に、そのトラフィックからデバイスを保護します。 受信 ACL は、それが設定されたデバイスのみを保護する設計になっています。 Cisco 12000, 7500, 10720 では通過トラフィックは Receive ACL による影響を受けません。 このため、以下の ACL の例において宛先 IP アドレス "any" が用いられても、自ルータの物理あるいは仮想 IP アドレスのみが参照されます。 受信 ACL はネットワーク セキュリティのベスト プラクティスと考えられており、ここでの特定の脆弱性の回避策としてだけでなく、優れたネットワーク セキュリティへの長期的な付加機能として考慮する必要があります。 ホワイトペーパー『GSR： Receive Access Control Lists" には、機器宛の正当なパケットとそれ以外の遮断されるべきパケットを判断する手法が記載されています。 この白書は次のリンク http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801a0a5e.shtml で利用できます。

次の receive path ACL は信頼できるホストからのこのようなタイプのトラフィックを許可するように記述されています。

!---

!--- Only sections pertaining to features enabled on the device

!--- need be configured.

!---

!---

!--- Feature: Cisco Unified Communications Manager Express

!---

!---

!---

!--- Permit CAPF server traffic from trusted hosts allowed to

!--- the RP.

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 3804

!---

!--- Telephony-Service configuration

!---

!---

!--- The TCP port is as per the ip source-address

!--- <address> port <port-number> telephony-service

!--- configuration command.  Example below 2999

!---

!--- Permit Telephony-Service traffic from trusted hosts allowed

!--- to the RP.

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 2999

!---

!--- Deny Cisco Unified Communications Manager Express

!--- traffic from all other sources to the RP.

!---

access-list 150 deny tcp any any eq 3804

access-list 150 deny tcp any any eq 2999

!---

!--- Permit SIP Gateway Signaling Support Over TLS Transport

!--- traffic from trusted hosts allowed to the RP.

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 5061

!---

!--- Deny SIP Gateway Signaling Support Over TLS Transport

!--- traffic from all other sources to the RP.

!---

access-list 150 deny tcp any any eq 5061

!---

!--- Permit Secure Signaling and Media Encryption traffic

!--- from trusted hosts allowed to the RP.

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 2443

!---

!--- Deny Secure Signaling and Media Encryption traffic from

!--- all other sources to the RP.

!---

access-list 150 deny tcp any any eq 2443

!---

!--- Feature: Blocks Extensible Exchange Protocol (BEEP)

!--- The TCP port used is defined with the netconf beep initiator

!--- and netconf beep listener configuration commands.

!--- This example uses 3001

!---

!---

!--- Permit BEEP traffic from trusted hosts allowed to the RP.

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 3001

!---

!--- Deny BEEP traffic from all other sources to the RP.

!---

access-list 150 deny tcp any any eq 3001

!---

!--- Feature: Network Admission Control HTTP Authentication Proxy

!--- and

!--- Per-user URL Redirect for EAP over UDP, Dot1x and MAC

!--- Authentication Bybass

!---

!---

!--- Permit Per-user URL Redirect for EAP over UDP, Dot1x and MAC

!--- Authentication Bybass traffic from trusted hosts allowed to

!--- the RP.

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 80

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 443

!---

!--- Deny Network Admission Control HTTP Authentication Proxy

!--- and

!--- Per-user URL Redirect for EAP over UDP, Dot1x and MAC

!--- Authentication Bybass traffic from all other sources to

!--- the RP.

!---

access-list 150 deny tcp any any eq 80

access-list 150 deny tcp any any eq 443

!---

!--- Features: Distributed Director with HTTP Redirects and DNS

!---

!---

!--- Permit Distribute Director and DNS traffic from trusted hosts

!--- allowed to the RP.

!---

access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 53

!---

!--- Deny distributed director and DNS traffic from all other

!--- sources to the RP.

!---

access-list 150 deny tcp any any eq 53

!---

!--- Permit all other traffic to the RP.

!--- according to security policy and configurations.

!---

access-list 150 permit ip any any

!---

!--- Apply this access list to the 'receive' path.

!---

ip receive access-list 150

コントロール プレーン ポリシング

コントロール プレーン ポリシング（CoPP）がデバイスに影響を受けた機能 TCPトラフィック アクセスをブロックするのに使用することができます。 Cisco IOS ソフトウェア リリース 12.0S、12.2SX、12.2S、12.3T、12.4、および 12.4T は、CoPP 機能をサポートしています。 管理およびコントロールプレーンを保護するために CoPP を機器に設定し、既存のセキュリティーポリシーとコンフィギュレーションに従って認定されたトラフィックだけがインフラストラクチャデバイス宛に送信されることを明示的に許可することで、インフラストラクチャへの直接攻撃のリスクとその効果を最小限に抑えることができます。 下記の CoPP の例はインフラストラクチャ IP アドレスの範囲内にある IP アドレスを持つ全ての機器を保護するために定義される CoPP の一部として含まれるべき項目です:

!---

!--- Only sections pertaining to features enabled on the device

!--- need be configured.

!---

!--- Feature: Cisco Unified Communications Manager Express

!---

!--- CAPF Server configuration

!---

access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 3804

!---

!--- Telephony-Service configuration

!--- The TCP port is as per the ip source-address

!--- <address> port <port-number> telephony-service

!--- configuration command.  Example below 2999

!---

access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 2999

!---

!--- Permit Cisco Unified Communications Manager Express traffic

!--- sent to all IP addresses configured on all interfaces of

!--- the affected device so that it will be policed and dropped

!--- by the CoPP feature

!---

!--- CAPF server configuration

!---

access-list 150 permit tcp any any eq 3804

!---

!--- Telephony-Service configuration

!---

access-list 150 permit tcp any any eq 2999

!---

!--- Feature: SIP Gateway Signaling Support Over TLS Transport

!---

access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 5061

!---

!--- Permit SIP Gateway Signaling Support Over TLS Transport

!--- traffic sent to all IP addresses configured on all interfaces

!--- of the affected device so that it will be policed and

!--- dropped by the CoPP feature

!---

access-list 150 permit tcp any any eq 5061

!---

!--- Feature: Secure Signaling and Media Encryption

!---

access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 2443

!---

!--- Permit Secure Signaling and Media Encryption traffic sent to

!--- all IP addresses configured on all interfaces of the affected

!--- device so that it will be policed and dropped by the CoPP

!--- feature

!---

access-list 150 permit tcp any any eq 2443

!---

!--- Feature: Blocks Extensible Exchange Protocol (BEEP)

!--- The TCP port used is defined with the netconf beep initiator

!--- and netconf beep listener configuration commands.

!--- This example uses 3001

!---

access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 3001

!---

!--- Permit BEEP traffic sent to all IP addresses configured

!--- on all interfaces of the affected device so that it

!--- will be policed and dropped by the CoPP feature

!---

access-list 150 permit tcp any any eq 3001

!---

!--- Feature: Network Admission Control HTTP Authentication Proxy

!--- and

!--- Per-user URL Redirect for EAP over UDP, Dot1x and MAC

!--- Authentication Bybass

!---

access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 80

access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 443

!---

!--- Permit Network Admission Control HTTP Authentication Proxy

!--- and Per-user URL Redirect for EAP over UDP, Dot1x and MAC

!--- Authentication Bybass traffic sent to all IP addresses

!--- configured on all interfaces of the affected device so that it

!--- will be policed and dropped by the CoPP feature

!---

access-list 150 permit tcp any any eq 80

access-list 150 permit tcp any any eq 443

!---

!--- Features: Distributed Director with HTTP Redirects and DNS

!---

access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD

any eq 53

!---

!--- Permit Distributed Director with HTTP Redirects and DNS

!--- traffic sent to all IP addresses configured on all interfaces

!--- of the affected device so that it will be policed and dropped

!--- by the CoPP feature

!---

access-list 150 permit tcp any any eq 53

!---

!--- Permit (Police or Drop)/Deny (Allow) all other Layer3 and

!--- Layer4 traffic in accordance with existing security policies

!--- and configurations for traffic that is authorized to be sent

!--- to infrastructure devices

!---

!---

!--- Create a Class-Map for traffic to be policed by

!--- the CoPP feature

!---

class-map match-all drop-tcpip-class

match access-group 150

!---

!--- Create a Policy-Map that will be applied to the

!--- Control-Plane of the device.

!---

policy-map drop-tcpip-traffic

class drop-tcpip-class

drop

!---

!--- Apply the Policy-Map to the

!--- Control-Plane of the device

!---

control-plane

service-policy input drop-tcpip-traffic

上記の CoPP の例では、"permit" アクションであるアクセスコントロールリストエントリ (ACE) に該当し、攻撃である可能性のあるパケットは、policy-map の "drop" 機能により廃棄されますが、一方、"deny" アクション(記載されていません)に該当するパケットは、policy-map の "drop" 機能の影響を受けません。 policy-map の構文は、12.2S と 12.0S Cisco IOS トレインでは異なるので注意が必要です:

policy-map drop-tcpip-traffic

class drop-tcpip-class

police 32000 1500 1500 conform-action drop exceed-action drop

CoPP 機能の設定および使用のその他の情報は次のリンク http://www.cisco.com/web/about/security/intelligence/coppwp_gs.html および http://www.cisco.com/en/US/docs/ios/12_3t/12_3t4/feature/guide/gtrtlimt.html で文書で、「コントロール プレーン ポリシング 実装 最良の方法」および「Cisco IOS ソフトウェア リリース 12.2 S -コントロール プレーン ポリシング」見つけることができます。

ネットワーク内の on Cisco 配置されたデバイスの場合もある追加軽減は次のリンク http://tools.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20090325-tcp-and-ip でこのアドバイザリのための「Cisco 加えました軽減情報」ドキュメントガイドで利用できます。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する際には、http://www.cisco.com/go/psirt およびそれ以降のアドバイザリも参照して、起こりうる障害と完全なアップグレード ソリューションを判断してください

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。 情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、Cisco IOS のリリース トレインが記載されています。 特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（および、それぞれの予想提供日）が表の「第 1 修正済みリリース」列に記載されます。 「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。 特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。 表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。

メジャー リリース

修正済みリリースの入手可能性

Affected 12.0-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.0

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0DA

Vulnerable; first fixed in 12.2DA

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0DB

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0DC

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0S

12.0(32)S12

12.0(32)S12

12.0SC

Vulnerable; first fixed in 12.0S

12.0(32)S12

12.0SL

Vulnerable; first fixed in 12.0S

12.0(32)S12

12.0SP

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0ST

Vulnerable; first fixed in 12.0S

12.0(32)S12

12.0SX

Vulnerable; first fixed in 12.0S

12.0(32)S12

12.0SY

12.0(32)SY8

12.0(32)SY8

12.0SZ

Vulnerable; first fixed in 12.0S

12.0(32)S12

12.0T

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0W

Vulnerable; contact TAC

12.0WC

Vulnerable; contact TAC

12.0WT

脆弱性なし

12.0XA

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XB

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XC

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XD

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XE

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XF

脆弱性なし

12.0XG

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XH

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XI

Release prior to 12.0(4)XI2 are vulnerable， releases 12.0(4)XI2 and later are not vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XJ

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XK

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XL

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XM

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XN

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XQ

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XR

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XS

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XT

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.0XV

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

Affected 12.1-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.1

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1AA

Vulnerable; contact TAC

12.1AX

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.1AY

Vulnerable; first fixed in 12.1EA

12.1(22)EA13

12.2(44)SE6

12.1AZ

Vulnerable; first fixed in 12.1EA

12.1(22)EA13

12.2(44)SE6

12.1CX

Vulnerable; contact TAC

12.1DA

Vulnerable; first fixed in 12.2DA

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1DB

Vulnerable; contact TAC

12.1DC

Vulnerable; contact TAC

12.1E

Vulnerable; 最初の修正は 12.2SXF

12.2(18)SXF16

12.1EA

12.1(22)EA13

12.1(22)EA13

12.1EB

Vulnerable; contact TAC

12.1EC

Vulnerable; first fixed in 12.3BC

12.2(33)SCB1

12.3(23)BC6

12.1EO

Vulnerable; contact TAC

12.1EU

Vulnerable; first fixed in 12.2SG

12.2(31)SGA9

12.1EV

Vulnerable; contact TAC

12.1EW

Vulnerable; 12.2SGA への移行する

12.1EX

Vulnerable; contact TAC

12.1EY

Vulnerable; contact TAC

12.1EZ

Vulnerable; 最初の修正は 12.2SXF

12.2(18)SXF16

12.1GA

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1GB

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1T

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XA

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XB

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XC

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XD

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XE

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XF

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XG

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XH

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XI

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XJ

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XL

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XM

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XP

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XQ

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XR

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XS

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XT

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XU

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XV

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XW

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XX

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XY

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1XZ

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1YA

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1YB

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1YC

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1YD

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1YE

Release prior to 12.1(5)YE6 are vulnerable， releases 12.1(5)YE6 and later are not vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1YF

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1YH

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.1YI

Vulnerable; contact TAC

12.1YJ

Vulnerable; first fixed in 12.1EA

12.1(22)EA13

12.2(44)SE6

Affected 12.2-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.2

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2B

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.2BC

Vulnerable; 12.2SCB1 または 12.3BC への移行する

12.2(33)SCB1

12.3(23)BC6

12.2BW

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2BX

Vulnerable; 12.2SB4 への移行する

12.2(33)SB4

12.2BY

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2BZ

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2CX

Vulnerable; 12.2SCB または 12.3BC への移行する

12.2(33)SCB1

12.3(23)BC6

12.2CY

Vulnerable; 12.2SCB または 12.3BC への移行する

12.2(33)SCB1

12.3(23)BC6

12.2CZ

Vulnerable; first fixed in 12.2SB

12.2(33)SB4

12.2DA

12.2(12)DA14; 30-JUL-2009 で利用可能

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2DD

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2DX

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2EW

Vulnerable; first fixed in 12.2SG

12.2(31)SGA9

12.2EWA

Vulnerable; first fixed in 12.2SG

12.2(31)SGA9

12.2EX

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2EY

12.2(44)EY

12.2(44)SE6

12.2EZ

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2FX

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2FY

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2FZ

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2IRA

Vulnerable; 最初の修正は 12.2SRC

12.2(33)SRC4; 18-MAY-2009 で利用可能

12.2IRB

Vulnerable; 最初の修正は 12.2SRC

12.2(33)SRC4; 18-MAY-2009 で利用可能

12.2IXA

Vulnerable; migrate to any release in 12.2IXH

12.2(18)IXH; 31-MAR-2009 で利用可能

12.2IXB

Vulnerable; migrate to any release in 12.2IXH

12.2(18)IXH; 31-MAR-2009 で利用可能

12.2IXC

Vulnerable; migrate to any release in 12.2IXH

12.2(18)IXH; 31-MAR-2009 で利用可能

12.2IXD

Vulnerable; migrate to any release in 12.2IXH

12.2(18)IXH; 31-MAR-2009 で利用可能

12.2IXE

Vulnerable; migrate to any release in 12.2IXH

12.2(18)IXH; 31-MAR-2009 で利用可能

12.2IXF

Vulnerable; migrate to any release in 12.2IXH

12.2(18)IXH; 31-MAR-2009 で利用可能

12.2IXG

Vulnerable; migrate to any release in 12.2IXH

12.2(18)IXH; 31-MAR-2009 で利用可能

12.2JA

脆弱性なし

12.2JK

脆弱性なし

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.2MB

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2MC

12.2(15)MC2m

12.2(15)MC2m

12.2S

Vulnerable; first fixed in 12.2SB

12.2(33)SB4

12.2SB

12.2(31)SB14

12.2(33)SB1

12.2(28)SB13

12.2(33)SB4

12.2SBC

Vulnerable; first fixed in 12.2SB

12.2(33)SB4

12.2SCA

12.2(33)SCA2

12.2(33)SCB1

12.2SCB

脆弱性なし

12.2SE

12.2(50)SE

12.2(46)SE2

12.2(44)SE5

12.2(44)SE6

12.2SEA

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2SEB

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2SEC

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2SED

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2SEE

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2SEF

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2SEG

Vulnerable; 最初の修正は 12.2SE

12.2(44)SE6

12.2SG

12.2(50)SG

12.2(52)SG; 15-MAY-2009 で利用可能

12.2SGA

12.2(31)SGA9

12.2(31)SGA9

12.2SL

脆弱性なし

12.2SM

Vulnerable; contact TAC

12.2SO

Vulnerable; contact TAC

12.2SQ

脆弱性なし

12.2SRA

Vulnerable; 最初の修正は 12.2SRC

12.2(33)SRC4; 18-MAY-2009 で利用可能

12.2SRB

Vulnerable; 最初の修正は 12.2SRC

12.2(33)SRB5a; 3-April-2009 で利用可能

12.2(33)SRC4; 18-MAY-2009 で利用可能

12.2SRC

12.2(33)SRC1

12.2(33)SRC4; 18-MAY-2009 で利用可能

12.2SRD

脆弱性なし

12.2STE

Vulnerable; contact TAC

12.2SU

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.2SV

Vulnerable; contact TAC

12.2SVA

Vulnerable; contact TAC

12.2SVC

Vulnerable; contact TAC

12.2SVD

Vulnerable; contact TAC

12.2SVE

Vulnerable; contact TAC

12.2SW

Vulnerable; contact TAC

12.2SX

Vulnerable; 最初の修正は 12.2SXF

12.2(18)SXF16

12.2SXA

Vulnerable; 最初の修正は 12.2SXF

12.2(18)SXF16

12.2SXB

Vulnerable; 最初の修正は 12.2SXF

12.2(18)SXF16

12.2SXD

Vulnerable; 最初の修正は 12.2SXF

12.2(18)SXF16

12.2SXE

Vulnerable; 最初の修正は 12.2SXF

12.2(18)SXF16

12.2SXF

12.2(18)SXF16

12.2(18)SXF16

12.2SXH

12.2(33)SXH5; 20-APR-2009 で利用可能

12.2(33)SXH5; 20-APR-2009 で利用可能

12.2SXI

脆弱性なし

12.2SY

Vulnerable; first fixed in 12.2SB

12.2(33)SB4

12.2SZ

Vulnerable; first fixed in 12.2SB

12.2(33)SB4

12.2T

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2TPC

Vulnerable; contact TAC

12.2XA

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XB

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XC

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XD

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XE

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XF

Vulnerable; 12.2SCB または 12.3BC への移行する

12.2(33)SCB1

12.3(23)BC6

12.2XG

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XH

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XI

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XJ

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XK

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XL

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XM

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XN

Vulnerable; 最初の修正は 12.2SRC

12.2(33)SB4

12.2(33)SRD1

12.2XNA

Vulnerable; migrate to any release in 12.2SRD

12.2(33)SRD1

12.2XNB

脆弱性なし

12.2XNC

脆弱性なし

12.2XO

12.2(46)XO

12.2(46)XO

12.2XQ

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XR

脆弱性なし

12.2XS

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XT

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XU

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XV

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2XW

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2YA

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2YB

Vulnerable; contact TAC

12.2YC

Vulnerable; contact TAC

12.2YD

Vulnerable; contact TAC

12.2YE

Vulnerable; contact TAC

12.2YF

Vulnerable; contact TAC

12.2YG

Vulnerable; contact TAC

12.2YH

Vulnerable; contact TAC

12.2YJ

Vulnerable; contact TAC

12.2YK

Vulnerable; contact TAC

12.2YL

Vulnerable; contact TAC

12.2YM

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.2YN

Vulnerable; contact TAC

12.2YO

Vulnerable; contact TAC

12.2YP

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2YQ

Vulnerable; contact TAC

12.2YR

Vulnerable; contact TAC

12.2YS

脆弱性なし

12.2YT

Vulnerable; contact TAC

12.2YU

Vulnerable; contact TAC

12.2YV

Vulnerable; contact TAC

12.2YW

Vulnerable; contact TAC

12.2YX

Vulnerable; contact TAC

12.2YY

Vulnerable; contact TAC

12.2YZ

Vulnerable; contact TAC

12.2ZA

Vulnerable; 最初の修正は 12.2SXF

12.2(18)SXF16

12.2ZB

Vulnerable; contact TAC

12.2ZC

Vulnerable; contact TAC

12.2ZD

Vulnerable; contact TAC

12.2ZE

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2ZF

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.2ZG

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.2ZH

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.2ZJ

Vulnerable; contact TAC

12.2ZL

Vulnerable; contact TAC

12.2ZP

Vulnerable; contact TAC

12.2ZU

Vulnerable; 最初の修正は 12.2SXH

12.2(33)SXH5; 20-APR-2009 で利用可能

12.2ZX

Vulnerable; first fixed in 12.2SB

12.2(33)SB4

12.2ZY

Vulnerable; contact TAC

12.2ZYA

12.2(18)ZYA1

12.2(18)ZYA1

Affected 12.3-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.3

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.3B

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3BC

12.3(23)BC6

12.3(23)BC6

12.3BW

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3EU

脆弱性なし

12.3JA

脆弱性なし

12.3JEA

脆弱性なし

12.3JEB

脆弱性なし

12.3JEC

脆弱性なし

12.3JK

脆弱性なし

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3JL

Vulnerable; first fixed in 12.4JK

12.3JX

脆弱性なし

12.3T

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3TPC

Vulnerable; contact TAC

12.3VA

Vulnerable; contact TAC

12.3XA

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.3XB

Vulnerable; contact TAC

12.3XC

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3XD

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3XE

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.3XF

Vulnerable; contact TAC

12.3XG

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3XI

Vulnerable; first fixed in 12.2SB

12.2(33)SB4

12.3XJ

Vulnerable; first fixed in 12.3YX

12.3(14)YX14

12.3XK

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3XL

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3XQ

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3XR

Vulnerable; 最初の修正は 12.4

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.3XS

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3XU

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3XW

Vulnerable; first fixed in 12.3YX

12.3(14)YX14

12.3XX

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3XY

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3XZ

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YA

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YD

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YF

Vulnerable; first fixed in 12.3YX

12.3(14)YX14

12.3YG

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YH

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YI

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YJ

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YK

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YM

12.3(14)YM13

12.3(14)YM13

12.3YQ

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YS

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YT

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YU

Vulnerable; first fixed in 12.4XB

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.3YX

12.3(14)YX14

12.3(14)YX14

12.3YZ

Vulnerable; contact TAC

12.3ZA

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

Affected 12.4-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.4

12.4(19)

12.4(18a)

12.4(23a); 05-JUN-2009 で利用可能

12.4(18e)

12.4(23a); 05-JUN-2009 で利用可能

12.4JA

脆弱性なし

12.4JDA

脆弱性なし

12.4JK

脆弱性なし

12.4JL

脆弱性なし

12.4JMA

Vulnerable; contact TAC

12.4JMB

Vulnerable; contact TAC

12.4JX

脆弱性なし

12.4MD

12.4(11)MD7

12.4(11)MD7

12.4MR

12.4(19)MR

12.4(19)MR2

12.4SW

Vulnerable; contact TAC

12.4T

12.4(20)T

12.4(15)T8

12.4(15)T9; 29-APR-2009 で利用可能

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XA

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XB

12.4(15)T8

12.4(20)T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XC

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XD

12.4(4)XD12; 27-MAR-2009 で利用可能

12.4(4)XD12; 27-MAR-2009 で利用可能

12.4XE

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XF

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XG

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XJ

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XK

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XL

12.4(15)XL4

12.4(15)XL4

12.4XM

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XN

Vulnerable; contact TAC

12.4XP

Vulnerable; contact TAC

12.4XQ

12.4(15)XQ2

12.4(15)XQ2

12.4XR

12.4(15)XR4

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XT

Vulnerable; first fixed in 12.4T

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XV

Vulnerable; contact TAC

12.4XW

12.4(11)XW10

12.4(11)XW10

12.4XY

12.4(15)XY4

12.4(22)T1

12.4(15)T9; 29-APR-2009 で利用可能

12.4XZ

脆弱性なし

12.4YA

脆弱性なし

12.4YB

脆弱性なし

12.4YD

脆弱性なし

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は Cisco によって内部脆弱性テストを行うとき検出されました。 またまた私達にこの脆弱性を報告するためにイェンス リンクに、フリー コンサルタント、感謝することを望みます。

URL

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-ip

改訂履歴

リビジョン 1.4

2009-June-25

March/09 によって結合される修正済みソフトウェア 表への取除かれた参照。

リビジョン 1.3

2009-June-1

updated リリース 12.4(23a) のための公共有効 日付を期待しました。

リビジョン 1.2

2009-May-1

updated リリース 12.4(23a) のための公共有効 日付を期待しました。

リビジョン 1.1

2009-March-30

具体的には影響を受けない呼出された無線製品

リビジョン 1.0

2009-March-25

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。