High

アドバイザリーID : cisco-sa-20100217-fwsm

初公開日 : 2010-02-17 16:00

バージョン 1.0 : Final

CVSSスコア : 7.8

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2010-0151

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用のCisco Firewall Services Module(FWSM)には、不正なSkinny Client Control Protocol(SCCP)メッセージを処理した後にCisco FWSMのリロードを引き起こす可能性のある脆弱性が存在します。この脆弱性は、SCCPインスペクションが有効になっている場合に存在します。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20100217-fwsm で公開されています。

該当製品

脆弱性のある製品

SCCPインスペクションが有効になっている場合、Cisco FWSMソフトウェアの修正済みでないすべての4.xバージョンがこの脆弱性の影響を受けます。SCCPインスペクションはデフォルトで有効になっています。

SCCPインスペクションが有効になっているかどうかを確認するには、show service-policy | include skinnyコマンドを実行し、出力が返されることを確認します。次に出力例を示します。

fwsm#show service-policy | include skinny

Inspect: skinny , packet 0, drop 0, reset-drop 0

または、SCCPインスペクションが有効になっているデバイスの設定は次のようになります。

class-map inspection_default

match default-inspection-traffic

!

policy-map global_policy

class inspection_default

...

inspect skinny

...

!

service-policy global_policy global

実行中のCisco FWSMソフトウェアのバージョンを確認するには、Cisco IOSソフトウェアまたはCisco Catalystオペレーティングシステムソフトウェアからshow moduleコマンドラインインターフェイス(CLI)コマンドを発行して、システムにインストールされているモジュールとサブモジュールを特定します。

次の例は、Cisco FWSM(WS-SVC-FWM-1)がスロット2にインストールされているシステムを示しています。

switch>show module

Mod Ports Card Type                              Model              Serial No.

--- ----- -------------------------------------- ------------------ -----------

1   16  SFM-capable 16 port 1000mb GBIC        WS-X6516-GBIC      SAL06334NS9

2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

3    8  Intrusion Detection System             WS-SVC-IDSM-2      SAD0932089Z

4    4  SLB Application Processor Complex      WS-X6066-SLB-APC   SAD093004BD

5    2  Supervisor Engine 720 (Active)         WS-SUP720-3B       SAL0934888E

Mod MAC addresses                       Hw    Fw           Sw           Status

--- ---------------------------------- ------ ------------ ------------ -------

1  0009.11e3.ade8 to 0009.11e3.adf7   5.1   6.3(1)       8.5(0.46)RFW Ok

2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       3.2(2)10     Ok

3  0014.a90c.9956 to 0014.a90c.995d   5.0   7.2(1)       5.1(6)E1     Ok

4  0014.a90c.66e6 to 0014.a90c.66ed   1.7                4.2(3)       Ok

5  0013.c42e.7fe0 to 0013.c42e.7fe3   4.4   8.1(3)       12.2(18)SXF1 Ok

[...]

正しいスロットの場所を確認した後、show module <slot number> コマンドを発行して、実行されているソフトウェアのバージョンを確認します。次に出力例を示します。

switch>show module 2

Mod Ports Card Type                              Model              Serial No.

--- ----- -------------------------------------- ------------------ -----------

2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

Mod MAC addresses                       Hw    Fw           Sw           Status

--- ---------------------------------- ------ ------------ ------------ -------

2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       3.2(2)10     Ok

[...]

上の例は、FWSMがソフトウェアバージョン3.2(2)10を実行していることを示しています。これは、「Sw」の下の列に示されています。

注：Cisco IOSソフトウェアの最近のバージョンでは、show moduleコマンドの出力に各モジュールのソフトウェアバージョンが表示されます。したがって、show module <slot number>コマンドを実行する必要はありません。

仮想スイッチングシステム(VSS)を使用して、2台の物理Cisco Catalyst 6500シリーズスイッチを1つの論理仮想スイッチとして動作させることができる場合は、show module switch allコマンドを使用して、スイッチ1とスイッチ2に属するすべてのFWSMのソフトウェアバージョンを表示できます。このコマンドの出力は、show module <slot number>の出力に似ていますが、VSS内の各スイッチのモジュールに関するモジュール情報が含まれています。

または、show versionコマンドを使用して、FWSMから直接バージョン情報を取得することもできます。次に出力例を示します。

FWSM> show version

FWSM Firewall Version 3.2(2)10

[...]

Cisco Adaptive Security Device Manager（ASDM）を使用してデバイスを管理している場合は、ログイン ウィンドウの表、または ASDM ウィンドウの左上にソフトウェアのバージョンが表示されます。バージョンの表記は次の例のようになります。

FWSM Version: 3.2(2)10

脆弱性を含んでいないことが確認された製品

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、このアドバイザリに記載されている脆弱性の影響を受けます。この脆弱性およびCisco ASA 5500シリーズ適応型セキュリティアプライアンスに影響を与えるその他の脆弱性については、別途Cisco Security Advisoryが公開されています。このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20100217-asaで入手できます。

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスを除き、この脆弱性の影響を受けるシスコ製品は現在確認されていません。

詳細

Cisco FWSMは、Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用の高速な統合ファイアウォールモジュールです。FWSMは、ステートフルパケットフィルタリングとディープパケットインスペクションを備えたファイアウォールサービスを提供します。

Cisco FWSMは、SCCPインスペクションが有効な場合に、不正なSCCPメッセージの処理中にデバイスがリロードされる可能性のある脆弱性の影響を受けます。

この脆弱性は通過トラフィックによってのみ引き起こされます。デバイス宛てのトラフィックはこの脆弱性を引き起こしません。

この問題は、Cisco Bug ID CSCtb60485 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-0151が割り当てられています。

回避策

SCCPインスペクションが不要な場合は、この脆弱性を無効にすることで軽減できます。管理者は、ポリシーマップコンフィギュレーション内のクラスコンフィギュレーションサブモードでno inspect skinnyコマンドを発行して、SCCPインスペクションを無効にすることができます。SCCP検査が必要な場合は、回避策はありません。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

次に示すCisco FWSMソフトウェアの表の各行には、主要なCisco FWSMソフトウェアトレインと、そのトレイン内で最初に可能なリリースが記載されています。これらのリリースには、修正が含まれています（「最初の修正リリース」）。また、利用可能になると予想される日付（「最初の修正リリース」列に記載されていない場合）も記載されています。特定の列のリリースより古い（「第 1 修正済みリリースより古い）リリースが稼働中のデバイスは、脆弱であることが確認されています。このようなリリースは、少なくとも、示されているリリース以上（最初の修正リリース ラベル以上）にアップグレードしてする必要があります。

メジャー リリース

First Fixed Release（修正された最初のリリース）

3.1

Not affected

3.2

Not affected

4.0

4.0(8)

修正済みのCisco FWSMソフトウェアは、Cisco.comのSoftware Centerからダウンロードできます。 に移動してください。http://www.cisco.com/cisco/web/download/index.htmlにアクセスし、[Security] > [Cisco Catalyst 6500 Series Firewall Services Module] > [Firewall Services Module (FWSM) Software]

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、お客様のサービスリクエストの解決中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20100217-fwsm

改訂履歴

リビジョン 1.0

2010年2月17日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。