severity

アドバイザリーID : cisco-sa-20110330-acs

初公開日 : 2011-03-30 16:00

バージョン 1.0 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Secure Access Control System(ACS)の一部のバージョンには脆弱性が存在します。この脆弱性により、認証されていないリモートの攻撃者が、アカウントの以前のパスワードを入力しなくても、任意のユーザアカウントのパスワードを任意の値に変更できる可能性があります。不正利用に成功するには、内部IDストアでユーザアカウントを定義する必要があります。

この脆弱性により、攻撃者はACSデータベースに対するその他の変更を実行できません。つまり、攻撃者はアクセスポリシー、デバイスプロパティ、またはユーザパスワード以外のアカウント属性を変更できません。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対する回避策はありません。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110330-acs で公開されています。

該当製品

脆弱性のある製品

次のCisco Secure ACSバージョンがこの脆弱性の影響を受けます。

- パッチ3、4、または5（またはこれらのパッチの任意の組み合わせ）がインストールされ、パッチ6以降がインストールされていないCisco Secure ACSバージョン5.1

- パッチがインストールされていないCisco Secure ACSバージョン5.2

- パッチ1または2（あるいは両方）がインストールされ、パッチ3以降がインストールされていないCisco Secure ACSバージョン5.2

上記のリストは、ハードウェアアプライアンスとソフトウェアのみのバージョンの両方の製品に適用されます。

インストールされているCisco Secure ACSのバージョンを確認するには、次の方法を使用できます。

- Cisco Secure ACSコマンドラインインターフェイス(CLI)から、次の例に示すようにshow versionコマンドを発行します。

acs51a/admin# show version

Cisco Application Deployment Engine OS Release: 1.2

ADE-OS Build Version: 1.2.0.152

ADE-OS System Architecture: i386

Copyright (c) 2005-2009 by Cisco Systems, Inc.

All rights reserved.

Hostname: acs51a

Version information of installed applications

---------------------------------------------

Cisco ACS VERSION INFORMATION

-----------------------------

Version : 5.1.0.44.6

Internal Build ID : B.2347

Patches :

5-1-0-44-3

5-1-0-44-6

acs51a/admin#

- Cisco Secure ACSのWebベースインターフェイスのメインログインページでは、バージョン情報が画面の左側に表示されます。

- Cisco Secure ACSのWebベースインターフェイスからログインし、画面の右上隅にある[About] リンクをクリックします。

Cisco Secure ACSバージョン5.1はバージョン5.1.0.44として認識され、Cisco Secure ACSバージョン5.2はバージョン5.2.0.26として認識されます。バージョン番号の後に追加の数字が表示されている場合は、インストールされている最も高いパッチレベルを示します。たとえば、バージョン番号5.1.0.44.3は、パッチ3がインストールされているCisco Secure ACSバージョン5.1を示します。バージョン文字列の後に追加の数字が表示されない場合は、パッチがインストールされていないCisco Secure ACSのバージョンを示しています。

脆弱性を含んでいないことが確認された製品

次のバージョンのCisco Secure ACSは、この脆弱性の影響を受けません。

- バージョン5.1より前のすべてのCisco Secure ACSバージョン

- パッチがインストールされていない、またはパッチ6以降がインストールされているCisco Secure ACSバージョン5.1

- パッチ1または2（または両方）がインストールされたCisco Secure ACSバージョン5.1

- パッチ3、4、または5（またはこれらのパッチの任意の組み合わせ）がインストールされているCisco Secure ACSバージョン5.1（パッチ6以降もインストールされている場合）

- パッチ1または2（あるいは両方）がインストールされているCisco Secure ACSバージョン5.2（パッチ3以降もインストールされている場合）

- パッチ3以降がインストールされたCisco Secure ACSバージョン5.2

上記のリストは、ハードウェアアプライアンスとソフトウェアのみのバージョンの両方の製品に適用されます。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco Secure ACS は、中央の RADIUS および TACACS+ サーバとして機能し、ユーザ認証、ユーザおよび管理者のデバイス アクセス、ポリシー制御を、一元化された ID ネットワーク ソリューションに統合します。

Cisco Secure ACSの一部のバージョンには脆弱性が存在し、認証されていないリモートの攻撃者が、アカウントの以前のパスワードを入力しなくても、任意のユーザアカウントのパスワードを任意の値に変更できる可能性があります。不正利用に成功するには、内部IDストアでユーザアカウントを定義する必要があります。

この脆弱性は、次のタイプのユーザアカウントのパスワードの変更には使用できません。

- Lightweight Directory Access Protocol(LDAP)サーバ、Microsoft Active Directoryサーバ、RSA SecurIDサーバ、外部RADIUSサーバなどの外部IDストアで定義されたユーザアカウント

- Webベースのインターフェイスを使用して設定されたCisco Secure ACSサーバ自体のシステム管理者アカウント

- username username password password CLIコマンドで設定されたCisco Secure ACSサーバ自体のユーザアカウント

この脆弱性により、攻撃者はACSデータベースに対するその他の変更を実行できません。つまり、攻撃者はアクセスポリシー、デバイスプロパティ、またはユーザパスワード以外のユーザ属性を変更できません。

この脆弱性は、Cisco Bug ID CSCtl77440 (登録ユーザ専用)として文書化され、CVE IDとしてCVE-2011-0951が割り当てられています。

回避策

この脆弱性に対する回避策はありません。

Cisco Secure ACSのWebベースの管理インターフェイスへのアクセスを、既知の限定された管理ステーションのセットだけに許可することで、攻撃対象を制限できます。これらのアクセス制御ルールは、http://www.cisco.com/en/US/docs/net_mgmt/cisco_secure_access_control_system/5.1/user/guide/admin_admin.html#wp1069174で入手できる『Cisco Secure ACS User Guide』の「Managing System Administrators」の章の「Configuring Administrator Access Settings」の項の手順に従って、デバイス自体で設定できます。

Cisco Secure ACSには、オプションのUser Change Password(UCP)Webサービスが用意されています。お客様は、Webベースのフロントエンドアプリケーションまたはスクリプトインターフェイスを使用してUCP機能を実装できます。どちらの場合も、クライアントにUCPサービスを提供するコンピュータは、このようなパスワード変更を実行するためにACSサーバのTCPポート443にアクセスする必要があります。このアクセスにより、このアドバイザリで説明されている脆弱性が悪用される可能性があるため、次の両方の推奨事項が適用されます。

- UCPサービスの提供の停止

- ACSサーバへのアクセスが許可されている管理ステーションのセットに、UCPサービス（Webベースまたはスクリプトのいずれか）を提供するコンピュータを含めないでください

ネットワーク内のCiscoデバイスに適用可能な他の緩和策については、付属ドキュメント『Cisco適用対応策速報：Cisco Secure Access Control Systemの不正なパスワード変更の脆弱性が悪用される問題の識別と影響の緩和』を参照してください。このドキュメントは、https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20110330-acsから入手できます。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

この脆弱性は、次のCisco Secure ACSソフトウェアパッチで最初に修正されています。

- Cisco Secure ACS バージョン 5.1

ファイル5-1-0-44-6.tar.gpg - ACS 5.1.0.44累積パッチ6

- Cisco Secure ACS バージョン 5.2

ファイル5-2-0-26-3.tar.gpg - ACS 5.2.0.26累積パッチ3

これらのCisco Secure ACSパッチは、Cisco.comのSoftware Centerからhttp://www.cisco.com/cisco/software/navigator.html(登録ユーザ専用)にダウンロードできます。パッチには、次のパスを使用してアクセスできます。

- [Security] > [Identity Management] > [Cisco Secure Access Control System] > [Cisco Secure Access Control System 5.1]

- [Security] > [Identity Management] > [Cisco Secure Access Control System] > [Cisco Secure Access Control System 5.2]

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は内部テストで発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110330-acs

改訂履歴

リビジョン 1.0

2011年3月30日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。