Cisco IOSソフトウェア ゾーン ベースのポリシー ファイアウォール脆弱性

シスコ製品上で動作している Cisco IOS ソフトウェア リリースについては、管理者がデバイスにログインして show version コマンドを発行し、システム バナーを表示することで判別できます。 "Internetwork Operating System Software"、"Cisco IOS Software" あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。 その後ろにイメージ名が括弧の間に表示され、続いて "Version" と Cisco IOS ソフトウエア リリース名が表示されます。 他のシスコ デバイスでは、show version コマンドが存在しなかったり、別の出力が表示されたりします。

以下の例は、Cisco 製品にて、IOSリリース 12.3(26) が稼動し、そのイメージ名が C2500-IS-L であることを示しています:

Router#show version
Cisco Internetwork Operating System Software
IOS (tm) 2500 Software (C2500-IS-L), Version 12.3(26), RELEASE SOFTWARE (fc2)
Technical Support: http://www.cisco.com/techsupport
Copyright ©) 1986-2008 by cisco Systems, Inc.
Compiled Mon 17-Mar-08 14:39 by dchih

<output truncated>

次の例は C1841-ADVENTERPRISEK9-M のインストール済みイメージ名前と Cisco IOS ソフトウェア リリース 12.4(20)T を実行している Cisco製品を指定したものです:

Router#show version
Cisco IOS Software, 1841 Software (C1841-ADVENTERPRISEK9-M), Version 12.4(20)T, RELEASE SOFTWARE (fc3)
Technical Support: http://www.cisco.com/techsupport
Copyright ©) 1986-2008 by Cisco Systems, Inc.
Compiled Thu 10-Jul-08 20:25 by prod_rel_team

<output truncated>

Cisco IOS ソフトウエアのリリース命名規則の追加情報は以下のリンクの "White Paper: Cisco IOS Reference Guide" で確認できます: http://www.cisco.com/warp/public/620/1.html

デバイスは設定に設定されるレイヤ3 かレイヤ7 SIP アプリケーション特有のポリシーがあるこれらのポリシーはあらゆるファイアウォール ゾーンに適用されます場合脆弱であり。 デバイスがデバイスに脆弱 な 設定を、ログイン判別し実行している、Command Line Interface （CLI） コマンド show policy-map 型 Inspect ゾーン ペアを発行するためかどうか | atch を含んで下さい: access|プロトコル一口。 出力が「一致が含まれていれば: プロトコル一口は」、デバイス 脆弱です。 出力が一致が含まれていれば: グループ番号は、それからデバイス 脆弱その時だけ、参照されたアクセス リスト割り当て SIP プロトコル（UDP ポート 5060、TCP 5060 および 5061）です。 次の例は Cisco IOS ゾーン ベースのポリシー ファイアウォール SIP インスペクションで設定される脆弱 な デバイスを示したものです:

Router#show policy-map type inspect zone-pair | include atch: access|protocol sip
      Match: protocol sip
Router#

次の例は応用アクセス リストを通って SIP インスペクションで設定される脆弱 な デバイスを示したものです:

Router#show policy-map type inspect zone-pair | include atch: access|protocol sip
      Match: access-group 102
Router#
Router#show access-list 102
Extended IP access list 102
    10 permit udp any any eq 5060
    20 permit tcp any any eq 5060
    30 permit tcp any any eq 5061
Router#

SIP インスペクション用に設定されないし、この設定をサポートしないデバイスはブランク 行かエラーメッセージを返します。 以下は Cisco IOS Firewall をサポートするで有効に なる SIP インスペクションがありませんデバイスの例:

Router#show policy-map type inspect zone-pair | include atch: access|protocol sip
Router#

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。 脆弱性が存在しない製品は下記のものを含んでいます:

• Cisco PIX 500 シリーズ ファイアウォール
  
• Cisco ASA 5500 シリーズ 適応型セキュリティ アプライアンス（ASA）ソフトウェア
  
• Catalyst 6500 スイッチ用の Firewall Services Module （FWSM）および 7600 シリーズ ルータ
  
• Cisco XR 12000 シリーズ ルータのマルチサービス ブレード（MSB）の仮想 な ファイアウォール（VFW）アプリケーション
  
• Cisco ACE アプリケーション コントロール エンジン モジュール
  
• Cisco IOS ゾーン ベースのポリシー ファイアウォール SIP インスペクションで設定されない Cisco IOSデバイス。
  
• SIP （CBAC）のためのレガシー Cisco IOS Firewall サポートで設定される Cisco IOSデバイス
  
• Cisco IOS XE ソフトウェア
  
• Cisco IOS XR ソフトウェア