日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
要約
該当製品
詳細
脆弱性スコア詳細
影響
ソフトウェア バージョンおよび修正
回避策
修正済みソフトウェアの入手
不正利用事例と公式発表
この通知のステータス：FINAL
情報配信
更新履歴
シスコ セキュリティ手順
Cisco Catalyst 6500 シリーズ スイッチおよび Cisco 7600 シリーズ ルータ用の Cisco Firewall Services Module（FWSM; ファイアウォール サービス モジュール）には、不正な Skinny Client Control Protocol（SCCP）メッセージが処理されると Cisco FWSM が再起動する脆弱性が存在します。デバイスは SCCP インスペクションが有効なときに影響を受けます。
シスコはこの脆弱性に対処する無償のソフトウェア アップデートをリリースしました。
このアドバイザリは次のリンクに掲載されます。 http://www.cisco.com/warp/public/707/cisco-sa-20110223-fwsm.shtml
注： Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンスは、このアドバイザリに記載されている脆弱性の影響を受けます。この脆弱性および Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンスに影響を与えるその他の脆弱性については、別途 Cisco Security Advisory が公開されています。このアドバイザリは次のリンクから入手できます。 http://www.cisco.com/warp/public/707/cisco-sa-20110223-asa.shtml
Cisco FWSM ソフトウェアのバージョン 3.1.x、3.2.x、4.0.x、4.1.x は、SCCP インスペクションが有効にされている場合、この脆弱性の影響を受けます。SCCP インスペクションはデフォルトで有効にされています。
SCCP インスペクションが有効にされているかを確認するには、 show service-policy | include skinny コマンドを使用して返ってきた結果を確認します。次に出力例を示します。
fwsm#show service-policy | include skinny
Inspect: skinny , packet 0, drop 0, reset-drop 0
または、SCCP インスペクションが有効にされているデバイスでは、次に類似する設定がされています。
class-map inspection_default match default-inspection-traffic ! policy-map global_policy class inspection_default ... inspect skinny ... ! service-policy global_policy global
注： サービス ポリシーは特定のインターフェイスに適用されることもあります。（上記はグローバルな適用例です。）
稼動中の Cisco FWSM ソフトウェアのバージョンを確認するには、Cisco IOS ソフトウェアまたは Cisco Catalyst OS ソフトウェアから show module コマンドを実行して、システム上にインストールされているモジュールおよびサブモジュールを表示します。
次の例は、スロット 2 に Cisco FWSM（WS-SVC-FWM-1）が搭載されたシステムを示しています。
switch>show module Mod Ports Card Type Model Serial No. --- ----- -------------------------------------- ------------------ ----------- 1 16 SFM-capable 16 port 1000mb GBIC WS-X6516-GBIC SAL06334NS9 2 6 Firewall Module WS-SVC-FWM-1 SAD10360485 3 8 Intrusion Detection System WS-SVC-IDSM-2 SAD0932089Z 4 4 SLB Application Processor Complex WS-X6066-SLB-APC SAD093004BD 5 2 Supervisor Engine 720 (Active) WS-SUP720-3B SAL0934888E Mod MAC addresses Hw Fw Sw Status --- ---------------------------------- ------ ------------ ------------ ------- 1 0009.11e3.ade8 to 0009.11e3.adf7 5.1 6.3(1) 8.5(0.46)RFW Ok 2 0018.ba41.5092 to 0018.ba41.5099 4.0 7.2(1) 3.2(2)10 Ok 3 0014.a90c.9956 to 0014.a90c.995d 5.0 7.2(1) 5.1(6)E1 Ok 4 0014.a90c.66e6 to 0014.a90c.66ed 1.7 4.2(3) Ok 5 0013.c42e.7fe0 to 0013.c42e.7fe3 4.4 8.1(3) 12.2(18)SXF1 Ok [...]
正しいスロットの場所を確認した後、show module <slot number> コマンドを実行して、稼動中のソフトウェア バージョンを識別します。
switch>show module 2 Mod Ports Card Type Model Serial No. --- ----- -------------------------------------- ------------------ ----------- 2 6 Firewall Module WS-SVC-FWM-1 SAD10360485 Mod MAC addresses Hw Fw Sw Status --- ---------------------------------- ------ ------------ ------------ ------- 2 0018.ba41.5092 to 0018.ba41.5099 4.0 7.2(1) 3.2(2)10 Ok [...]
上の例では、Cisco FWSM がバージョン 3.2(2)10 を実行していることが、Sw 列に示されています。
注意： Cisco IOS ソフトウェアの最近のバージョンでは、show module コマンドから各モジュールのソフトウェア バージョンを確認できます。 よって、show module <slot number> コマンドを実行する必要はありません。
Virtual Switching System（VSS）は、2 台の物理的な Cisco Catalyst 6500 シリーズ スイッチを 1 台の論理的な仮想スイッチとして動作させるときに使用します。show module switch all コマンドでスイッチ 1 およびスイッチ 2 に所属するすべての Cisco FWSM のソフトウェア バージョンを表示できます。このコマンドの出力は show module <slot number> の出力と似ていますが、VSS 内の各スイッチのモジュールに関するモジュール情報が含まれています。
または次の例のように、show version コマンドを使用して FWSM からバージョン情報を直接取得することもできます。
FWSM> show version FWSM Firewall Version 3.2(2)10 [...]
Cisco Adaptive Security Device Manager（ASDM）を使用してデバイスを管理している場合は、ログイン ウィンドウの表、または ASDM ウィンドウの左上にソフトウェアのバージョンが表示されます。バージョンの表記は次の例のようになります。
FWSM Version: 3.2(2)10
Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンスを除き、現在、他のシスコ製品においてこの脆弱性の影響を受けるものは確認されていません。
Cisco FWSM は、Catalyst 6500 シリーズ スイッチおよび Cisco 7600 シリーズ ルータ用の高速な統合型ファイアウォール モジュールです。FWSM では、ステートフル パケット フィルタリングとディープ パケット インスペクションを使用したファイアウォール サービスが提供されています。
Cisco FWSM は、SCCP インスペクションが有効にされている場合、不正な SCCP メッセージの処理中にデバイスの再起動を引き起こす脆弱性があります。
この脆弱性は、通過トラフィックによってのみ引き起こされます。デバイス宛てのトラフィックでは、この脆弱性は引き起こされません。
この脆弱性は Cisco Bug ID CSCtl84952 （ 登録ユーザのみ）に文書化されており、Common Vulnerabilities and Exposures（CVE）ID として CVE-2011-0394 が割り当てられています。
シスコはこのアドバイザリでの脆弱性に対して Common Vulnerability Scoring System（CVSS）に基づいたスコアを提供しています。このセキュリティ アドバイザリでの CVSS スコアは CVSS バージョン 2.0 に基づいています。
CVSS は、脆弱性の重要度を示唆するもので、緊急性および対応の優先度を決定する手助けとなる標準ベースの評価法です。
シスコは基本評価スコア（Base Score）および現状評価スコア（Temporal Score）を提供しています。お客様はこれらを用いて環境評価スコア（Environmental Score）を算出し、個々のネットワークにおける脆弱性の影響度を導き出すことができます。
シスコは次の URL にて CVSS に関する FAQ を提供しています。
http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html
また、シスコは個々のネットワークにおける環境影響度を算出する CVSS 計算ツールを次の URL にて提供しています。
http://tools.cisco.com/security/center/cvssCalculator.x
| CSCtl84952 -- SCCP inspection DoS vulnerability Calculate the environmental score of |
||||||
|---|---|---|---|---|---|---|
| CVSS Base Score - 7.8 |
||||||
| Access Vector |
Access Complexity |
Authentication |
Confidentiality Impact |
Integrity Impact |
Availability Impact |
|
| Network |
Low |
None |
None |
None |
Complete |
|
| CVSS Temporal Score - 6.4 |
||||||
| Exploitability |
Remediation Level |
Report Confidence |
||||
| Functional |
Official-Fix |
Confirmed |
||||
この脆弱性の不正利用に成功した場合、影響を受けるデバイスの再起動が発生することがあります。繰り返し不正利用されると、サービス拒否（DoS）状態が続く可能性があります。
ソフトウェアのアップグレードを検討する際には、 http://www.cisco.com/go/psirt/ および本アドバイザリ以降に公開のアドバイザリも参照して、起こりうる障害と完全なアップグレード ソリューションを判断してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報が不明確な場合は、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。
下記 Cisco FWSM ソフトウェア テーブルの各行には主要な Cisco FWSM ソフトウェア トレインが示されており、そのトレインの修正を含む最初のリリース（First Fixed Release）とその提供予定日（現在提供中でない場合）が「First Fixed Release」の列に示されています。各列のリリースよりも古い（First Fixed Release より前の）リリースが稼働中のデバイスは、脆弱であることが確認されています。使用するリリースは少なくとも示されたリリース以降へアップグレードすることが推奨されます。
| Major Release |
First Fixed Release |
|---|---|
| 3.1 |
3.1(20) |
| 3.2 |
3.2(20) |
| 4.0 |
4.0(15) |
| 4.1 |
4.1(5) |
修正済みの Cisco FWSM ソフトウェアは、Cisco.com 内の Software Center（ http://www.cisco.com/cisco/software/navigator.html） （登録ユーザのみ）にアクセスして、[Products] > [Security] > [Firewall] > [Firewall Integrated Switch/Router Services] > [Cisco Catalyst 6500 Series Firewall Services Module] > [Firewall Services Module (FWSM) Software] に移動することでダウンロードできます。
SCCP インスペクションが必要ない場合、それを無効にしてデバイスがこの脆弱性による影響を受けないようにすることができます。管理者はポリシー マップ設定内のクラス設定サブモードで no inspect skinny コマンドを発行することによって、SCCP インスペクションを無効にすることができます。SCCP インスペクションが必要な場合、回避策はありません。
シスコはこの脆弱性に対処する無償のソフトウェア アップデートをリリースしました。ソフトウェアの導入を行う前にお客様のメンテナンス プロバイダーにご相談いただくかソフトウェアのフィーチャ セットの互換性およびお客様のネットワーク環境に特有の問題に関してご確認下さい。
お客様がインストールしたりサポートを受けたりできるのは、ご購入いただいたフィーチャ セットに対してのみとなります。そのようなソフトウェア アップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html に記載のシスコのソフトウェア ライセンスの条項、または Cisco.com ダウンロード サイトの http://www.cisco.com/public/sw-center/sw-usingswc.shtml に説明のあるその他の条項に従うことに同意したことになります。
ソフトウェアのアップグレードに関し、psirt@cisco.com もしくは security-alert@cisco.com にお問い合わせいただくことはご遠慮ください。
サービス契約をご利用のお客様は、通常のアップデート チャネルからアップグレード ソフトウェアを入手してください。ほとんどのお客様は、シスコのワールドワイド Web サイト上の Software Center からアップグレードを入手することができます。 http://www.cisco.com
シスコ パートナー、正規販売代理店、サービス プロバイダーなど、サードパーティのサポート会社と以前に契約していたか、または現在契約しており、その会社からシスコ製品の提供または保守を受けているお客様は、該当するサポート会社に連絡し、本脆弱性に関する適切な処置について指示と支援を受けてください。
回避策の効果は、使用製品、ネットワーク トポロジー、トラフィックの性質や組織の目的などのお客様の状況に依存します。影響製品が多種多様であるため、回避策を実際に展開する前に、対象とするネットワークで適用する回避策が最適であるか、お客様のサービス プロバイダーやサポート会社にご相談ください。
シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティ ベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center（TAC）に連絡してアップグレードを入手してください。TAC の連絡先は次のとおりです。
無償アップグレードの対象であることをご証明いただくために、製品のシリアル番号と、このお知らせの URL をご用意ください。サービス契約をご利用でないお客様に対する無償アップグレードは、TAC 経由でご要求いただく必要があります。
さまざまな言語向けの各地の電話番号、説明、電子メール アドレスなどの、この他の TAC の連絡先情報については、 http://www.cisco.com/en/US/support/tsd_cisco_worldwide_contacts.html を参照してください。
Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。
この脆弱性はシスコ内部でのテストによって発見されました。
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証を示唆するものでもありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。またシスコシステムズはいつでも本ドキュメントの変更や更新を実施する権利を有します。
後述する情報配信の URL を省略し、本アドバイザリの記述内容に関して単独の転載や意訳を実施した場合には、事実誤認ないし重要な情報の欠落を含む統制不可能な情報の伝搬が行われる可能性があります。
本アドバイザリは、次のシスコのワールドワイド Web サイト上に掲載されます。
http://www.cisco.com/warp/public/707/cisco-sa-20110223-fwsm.shtml
ワールドワイド Web 以外にも、次の電子メールおよび Usenet ニュースの受信者向けに、この通知のテキスト版が Cisco PSIRT PGP キーによるクリア署名つきで投稿されています。
このアドバイザリに関する今後の更新は、いかなるものもシスコのワールドワイド Web サイトに掲載される予定です。 しかしながら、前述のメーリング リストもしくはニュースグループに対し 積極的に配信されるとは限りません。この問題に関心があるお客様は上記 URL にて最新情報をご確認いただくことをお勧めいたします。
| Revision 1.0 |
2011-February-23 |
Initial public release. |
シスコ製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関する支援、およびシスコからセキュリティ情報を入手するための登録方法について詳しく知るには、シスコ ワールドワイド Web サイトの http://www.cisco.com/en/US/products/products_security_vulnerability_policy.html にアクセスしてください。このページには、シスコのセキュリティ通知に関してメディアが問い合わせる際の指示が掲載されています。すべてのシスコ セキュリティ アドバイザリは http://www.cisco.com/go/psirt/ で確認することができます。