CiscoファイアウォールサービスモジュールのSkinny Client Control ProtocolインスペクションにおけるDoS脆弱性

SCCPインスペクションが有効になっている場合、Cisco FWSMソフトウェアの修正済みでないすべての4.xバージョンがこの脆弱性の影響を受けます。SCCPインスペクションはデフォルトで有効になっています。

SCCPインスペクションが有効になっているかどうかを確認するには、show service-policy | include skinnyコマンドを実行し、出力が返されることを確認します。次に出力例を示します。

fwsm#show service-policy | include skinny
      Inspect: skinny , packet 0, drop 0, reset-drop 0

または、SCCPインスペクションが有効になっているデバイスの設定は次のようになります。

class-map inspection_default
 match default-inspection-traffic
!
policy-map global_policy
 class inspection_default
  ...
  inspect skinny
  ...
!
service-policy global_policy global

実行中のCisco FWSMソフトウェアのバージョンを確認するには、Cisco IOSソフトウェアまたはCisco Catalystオペレーティングシステムソフトウェアからshow moduleコマンドラインインターフェイス(CLI)コマンドを発行して、システムにインストールされているモジュールとサブモジュールを特定します。

次の例は、Cisco FWSM(WS-SVC-FWM-1)がスロット2にインストールされているシステムを示しています。

switch>show module
Mod Ports Card Type                              Model              Serial No.
--- ----- -------------------------------------- ------------------ -----------
  1   16  SFM-capable 16 port 1000mb GBIC        WS-X6516-GBIC      SAL06334NS9
  2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485
  3    8  Intrusion Detection System             WS-SVC-IDSM-2      SAD0932089Z
  4    4  SLB Application Processor Complex      WS-X6066-SLB-APC   SAD093004BD
  5    2  Supervisor Engine 720 (Active)         WS-SUP720-3B       SAL0934888E

Mod MAC addresses                       Hw    Fw           Sw           Status
--- ---------------------------------- ------ ------------ ------------ -------
  1  0009.11e3.ade8 to 0009.11e3.adf7   5.1   6.3(1)       8.5(0.46)RFW Ok
  2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       3.2(2)10     Ok
  3  0014.a90c.9956 to 0014.a90c.995d   5.0   7.2(1)       5.1(6)E1     Ok
  4  0014.a90c.66e6 to 0014.a90c.66ed   1.7                4.2(3)       Ok
  5  0013.c42e.7fe0 to 0013.c42e.7fe3   4.4   8.1(3)       12.2(18)SXF1 Ok

[...]

正しいスロットの場所を確認した後、show module <slot number> コマンドを発行して、実行されているソフトウェアのバージョンを確認します。次に出力例を示します。

switch>show module 2
Mod Ports Card Type                              Model              Serial No.
--- ----- -------------------------------------- ------------------ -----------
  2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

Mod MAC addresses                       Hw    Fw           Sw           Status
--- ---------------------------------- ------ ------------ ------------ -------
  2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       3.2(2)10     Ok

[...]

上の例は、FWSMがソフトウェアバージョン3.2(2)10を実行していることを示しています。これは、「Sw」の下の列に示されています。

注：Cisco IOSソフトウェアの最近のバージョンでは、show moduleコマンドの出力に各モジュールのソフトウェアバージョンが表示されます。したがって、show module <slot number>コマンドを実行する必要はありません。

仮想スイッチングシステム(VSS)を使用して、2台の物理Cisco Catalyst 6500シリーズスイッチを1つの論理仮想スイッチとして動作させることができる場合は、show module switch allコマンドを使用して、スイッチ1とスイッチ2に属するすべてのFWSMのソフトウェアバージョンを表示できます。このコマンドの出力は、show module <slot number>の出力に似ていますが、VSS内の各スイッチのモジュールに関するモジュール情報が含まれています。

または、show versionコマンドを使用して、FWSMから直接バージョン情報を取得することもできます。次に出力例を示します。

FWSM> show version

FWSM Firewall Version 3.2(2)10 

[...]

Cisco Adaptive Security Device Manager（ASDM）を使用してデバイスを管理している場合は、ログイン ウィンドウの表、または ASDM ウィンドウの左上にソフトウェアのバージョンが表示されます。バージョンの表記は次の例のようになります。

FWSM Version: 3.2(2)10

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、このアドバイザリに記載されている脆弱性の影響を受けます。この脆弱性およびCisco ASA 5500シリーズ適応型セキュリティアプライアンスに影響を与えるその他の脆弱性については、別途Cisco Security Advisoryが公開されています。このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20100217-asaで入手できます。

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスを除き、この脆弱性の影響を受けるシスコ製品は現在確認されていません。