Cisco Security Advisory: Cisco Firewall Services Module Skinny Client Control Protocol Inspection Denial of Service Vulnerability

Cisco FWSM ソフトウェアのバージョン 3.1.x、3.2.x、4.0.x、4.1.x は、SCCP インスペクションが有効にされている場合、この脆弱性の影響を受けます。SCCP インスペクションはデフォルトで有効にされています。

SCCP インスペクションが有効にされているかを確認するには、 show service-policy | include skinny コマンドを使用して返ってきた結果を確認します。次に出力例を示します。

fwsm#show service-policy | include skinny
      Inspect: skinny , packet 0, drop 0, reset-drop 0

または、SCCP インスペクションが有効にされているデバイスでは、次に類似する設定がされています。

class-map inspection_default
 match default-inspection-traffic
!
policy-map global_policy
 class inspection_default
  ...
  inspect skinny
  ...
!
service-policy global_policy global

注： サービス ポリシーは特定のインターフェイスに適用されることもあります。（上記はグローバルな適用例です。）

稼動中の Cisco FWSM ソフトウェアのバージョンを確認するには、Cisco IOS ソフトウェアまたは Cisco Catalyst OS ソフトウェアから show module コマンドを実行して、システム上にインストールされているモジュールおよびサブモジュールを表示します。

次の例は、スロット 2 に Cisco FWSM（WS-SVC-FWM-1）が搭載されたシステムを示しています。

switch>show module
Mod Ports Card Type                              Model              Serial No.
--- ----- -------------------------------------- ------------------ -----------
  1   16  SFM-capable 16 port 1000mb GBIC        WS-X6516-GBIC      SAL06334NS9
  2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485
  3    8  Intrusion Detection System             WS-SVC-IDSM-2      SAD0932089Z
  4    4  SLB Application Processor Complex      WS-X6066-SLB-APC   SAD093004BD
  5    2  Supervisor Engine 720 (Active)         WS-SUP720-3B       SAL0934888E

Mod MAC addresses                       Hw    Fw           Sw           Status
--- ---------------------------------- ------ ------------ ------------ -------
  1  0009.11e3.ade8 to 0009.11e3.adf7   5.1   6.3(1)       8.5(0.46)RFW Ok
  2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       3.2(2)10     Ok
  3  0014.a90c.9956 to 0014.a90c.995d   5.0   7.2(1)       5.1(6)E1     Ok
  4  0014.a90c.66e6 to 0014.a90c.66ed   1.7                4.2(3)       Ok
  5  0013.c42e.7fe0 to 0013.c42e.7fe3   4.4   8.1(3)       12.2(18)SXF1 Ok

[...]

正しいスロットの場所を確認した後、show module <slot number> コマンドを実行して、稼動中のソフトウェア バージョンを識別します。

switch>show module 2
Mod Ports Card Type                              Model              Serial No.
--- ----- -------------------------------------- ------------------ -----------
  2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

Mod MAC addresses                       Hw    Fw           Sw           Status
--- ---------------------------------- ------ ------------ ------------ -------
  2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       3.2(2)10     Ok

[...]

上の例では、Cisco FWSM がバージョン 3.2(2)10 を実行していることが、Sw 列に示されています。

注意： Cisco IOS ソフトウェアの最近のバージョンでは、show module コマンドから各モジュールのソフトウェア バージョンを確認できます。 よって、show module <slot number> コマンドを実行する必要はありません。

Virtual Switching System（VSS）は、2 台の物理的な Cisco Catalyst 6500 シリーズ スイッチを 1 台の論理的な仮想スイッチとして動作させるときに使用します。show module switch all コマンドでスイッチ 1 およびスイッチ 2 に所属するすべての Cisco FWSM のソフトウェア バージョンを表示できます。このコマンドの出力は show module <slot number> の出力と似ていますが、VSS 内の各スイッチのモジュールに関するモジュール情報が含まれています。

または次の例のように、show version コマンドを使用して FWSM からバージョン情報を直接取得することもできます。

FWSM> show version
FWSM Firewall Version 3.2(2)10 
[...]

Cisco Adaptive Security Device Manager（ASDM）を使用してデバイスを管理している場合は、ログイン ウィンドウの表、または ASDM ウィンドウの左上にソフトウェアのバージョンが表示されます。バージョンの表記は次の例のようになります。

FWSM Version: 3.2(2)10

Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンスを除き、現在、他のシスコ製品においてこの脆弱性の影響を受けるものは確認されていません。

サービス契約をご利用のお客様は、通常のアップデート チャネルからアップグレード ソフトウェアを入手してください。ほとんどのお客様は、シスコのワールドワイド Web サイト上の Software Center からアップグレードを入手することができます。 http://www.cisco.com

シスコ パートナー、正規販売代理店、サービス プロバイダーなど、サードパーティのサポート会社と以前に契約していたか、または現在契約しており、その会社からシスコ製品の提供または保守を受けているお客様は、該当するサポート会社に連絡し、本脆弱性に関する適切な処置について指示と支援を受けてください。

回避策の効果は、使用製品、ネットワーク トポロジー、トラフィックの性質や組織の目的などのお客様の状況に依存します。影響製品が多種多様であるため、回避策を実際に展開する前に、対象とするネットワークで適用する回避策が最適であるか、お客様のサービス プロバイダーやサポート会社にご相談ください。

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティ ベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center（TAC）に連絡してアップグレードを入手してください。TAC の連絡先は次のとおりです。

• +1 800 553 2447（北米内からのフリー ダイヤル）
  
• +1 408 526 7209（北米以外からの有料通話）
  
• 電子メール：tac@cisco.com
  

無償アップグレードの対象であることをご証明いただくために、製品のシリアル番号と、このお知らせの URL をご用意ください。サービス契約をご利用でないお客様に対する無償アップグレードは、TAC 経由でご要求いただく必要があります。

さまざまな言語向けの各地の電話番号、説明、電子メール アドレスなどの、この他の TAC の連絡先情報については、 http://www.cisco.com/en/US/support/tsd_cisco_worldwide_contacts.html を参照してください。