Informational

アドバイザリーID : cisco-sa-20101124-vpn-grpname

初公開日 : 2010-11-24 17:00

最終更新日 : 2010-12-02 17:00

バージョン 1.1 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

このCisco Security Responseは、2005年6月20日にNTA Monitorのhttp://www.cisco.com/warp/public/707/cisco-sn-20050624-vpn-grpname.shtmlで公開されたCisco VPNコンセントレータグループ名列挙の脆弱性に対するアドバイザリに対応した、元のCisco Security Notice(http://www.nta-monitor.com/news/vpn-flaws/cisco/VPN-Concentrator/index.htm)の更新バージョンです。

Cisco PIX、Cisco VPN 3000コンセントレータ、およびCisco ASAに影響を与えるその他のCisco VPNコンセントレータグループ名列挙の脆弱性は、NGS SecureのGavin Jones氏によってシスコに報告されました。この脆弱性は、Cisco IOSソフトウェアには影響しません。元のレポートでは、IKEメッセージ内のグループ名が有効であれば、該当するデバイスはIKEネゴシエーションに応答しますが、無効なグループ名では応答が得られません。デバイス応答におけるこれらのIKE関連の違いは、元のCisco Bug IDで修正されています。ただし、デバイスの応答は、有効なグループ名を受信したかどうかに応じて、デッドピア検出VIDに対して異なります。

このSecurity Responseはhttps://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20101124-vpn-grpnameで公開されており、元のセキュリティ通知はhttp://www.cisco.com/warp/public/707/cisco-sn-20050624-vpn-grpname.shtmlで公開されています。

追加情報

この脆弱性を悪用すると、攻撃者は「該当製品」セクションに該当するシスコデバイスに設定されている有効なグループ名を見つけることができます。リモートアクセスVPNシナリオでグループ認証にPSK（事前共有キー）を使用している顧客にのみ影響します。（PSKまたは証明書を使用した）サイト間VPN、証明書を使用したリモートアクセスVPNを使用するお客様、または「相互グループ認証」と呼ばれるVPN 3000コンセントレータ機能を使用するお客様は、この脆弱性の影響を受けません。

この脆弱性は、該当する製品がアグレッシブモードのIKEフェーズIメッセージに応答する方法に存在します。IKEメッセージ内のグループ名が有効なグループ名である場合、影響を受けるデバイスはIKEネゴシエーションに応答しますが、無効なグループ名は応答を引き出しません。

有効なグループ名が特定されると、攻撃者は該当デバイスから送信された応答パケットに含まれる情報を使用してオフライン攻撃を実行し、グループ認証に使用されるPSKの検出を試みます。オフライン攻撃が成功し、PSKが回復した場合、この情報を使用して、該当デバイスに対してリモートVPNクライアントによって開始されるセッションに対してMiTM(Man-in-the-Middle)攻撃を試みることができます。

その他のGroup Name Enumeration Vulnerabilityは、次のBug ID（登録ユーザ専用）に記載されています。

- CSCtj96108(登録ユーザ専用):ASAで可能なグループ列挙

該当製品

次の製品は、この脆弱性に該当します。

- Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンス

- Cisco PIX 500シリーズセキュリティアプライアンス（バージョン6.3.X以前は該当しません）

- Cisco VPN 3000シリーズコンセントレータ（モデル3005、3015、3020、3030、3060、および3080）

Cisco IOSソフトウェアは、この脆弱性の影響を受けません。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

ソフトウェア バージョンと修正

Cisco PIX 500シリーズセキュリティアプライアンスおよびCisco VPN 3000シリーズコンセントレータのサポート終了ステータスにより、これらの製品で使用できる修正済みソフトウェアは提供されません。

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスの修正済みソフトウェアは、Cisco.comソフトウェアダウンロードセンターから入手できます。ダウンロードセンターは、[製品(Products)] —> [セキュリティ(Security)] —> [ファイアウォール(Firewall)] —> [Cisco ASA 5500シリーズ適応型セキュリティアプライアンス(Cisco ASA 5500 Series Adaptive Security Appliances)] —> [Cisco ASA XXXX適応型セキュリティアプライアンス(Adaptive Security Appliance)]にあります。

次のCisco ASAソフトウェアバージョンには、この修正が含まれています。

メジャーバージョン

First Fixed Release（修正された最初のリリース）

8.0

008.000（005.023）

8.1

008.001（002.049）

8.2

008.002(004.005)*

8.3

008.003（002.013）

8.4

008.004(001.004)*

Â

2011年3月30日の時点で、アスタリスク(*)の付いたソフトウェアバージョンはCisco.comでは使用できません。お客様は、メンテナンスプロバイダーに連絡して、これらのバージョンを入手できます。

シスコのセキュリティ手順

シスコ製品のセキュリティの脆弱性に関するレポート、セキュリティ障害に対する支援、およびシスコからのセキュリティ情報を受信するための登録に関するすべての情報は、シスコのワールドワイド ウェブサイト https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html から入手できます。この情報には、シスコのセキュリティ通知に関して、報道機関が問い合せる場合の説明も含まれています。すべての Cisco セキュリティ アドバイザリは、http://www.cisco.com/go/psirt から入手できます。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20101124-vpn-grpname

改訂履歴

バージョン

説明

セクション

日付

リビジョン 1.1

概要セクションに追加情報を追加

2010年12月2日

リビジョン 1.0

初版リリース

2010年11月29日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。