severity

アドバイザリーID : cisco-sa-20110601-ac

初公開日 : 2011-06-01 16:00

バージョン 2.0 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco AnyConnectセキュアモビリティクライアント（旧称Cisco AnyConnect VPN Client）は、次の脆弱性の影響を受けます。

- 任意のプログラム実行の脆弱性

- ローカル権限昇格の脆弱性

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。このアドバイザリに記載されている脆弱性に対する回避策はありません。

このアドバイザリは、 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110601-ac で公開されています。

該当製品

脆弱性のある製品

このドキュメントで説明されている脆弱性は、Cisco AnyConnectセキュアモビリティクライアントに適用されます。該当するバージョンは次のとおりです。

脆弱性

Platform

該当するバージョン

任意のプログラム実行の脆弱性

Microsoft Windows

2.3.185より前のすべてのバージョン

Linux、Apple MacOS X

- 2.5.xおよび3.0.x以外のメジャーリリースのすべてのバージョン。

- 2.5.3041より前の2.5.xリリース

- 3.0.629より前の3.0.xリリース

ローカル権限昇格の脆弱性

Microsoft Windows

2.3.254より前のすべてのバージョン

Linux、Apple MacOS X

Not affected

注：Microsoft Windows Mobileのバージョンは、任意のプログラム実行の脆弱性の影響を受けます。Cisco AnyConnect Secure Mobility Client for Windows Mobileの修正済みバージョンは計画されていません。

脆弱性を含んでいないことが確認された製品

Apple iOS向けCisco AnyConnectセキュアモビリティクライアントおよびIPsec専用Cisco VPNクライアントは、これらの脆弱性の影響を受けません。

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

Cisco AnyConnectセキュアモビリティクライアントはシスコの次世代VPNクライアントで、Cisco 5500シリーズ適応型セキュリティアプライアンス(ASA)およびCisco IOSソフトウェアを実行しているデバイスへのセキュアなIPsec(IKEv2)またはSSLバーチャルプライベートネットワーク(VPN)接続をリモートユーザに提供します。

Cisco AnyConnectセキュアモビリティクライアントは、次の脆弱性の影響を受けます。

任意のプログラム実行の脆弱性

Cisco AnyConnectセキュアモビリティクライアントは、VPNヘッドエンドからリモートユーザに導入することも、エンドポイントがVPNヘッドエンドに接続する前にインストールすることもできます。このプロセスを事前導入と呼びます。Cisco AnyConnectセキュアモビリティクライアントが事前導入されると、クライアントソフトウェアがインストールされ、他のアプリケーションと同様に実行されます。

Cisco AnyConnectセキュアモビリティクライアントがVPNヘッドエンドから導入されると、Webブラウザを使用してVPNヘッドエンドへのSSL接続が開始されます。ユーザがログインすると、ブラウザにポータルウィンドウが表示されます。ユーザが[Start AnyConnect]リンクをクリックすると、Cisco AnyConnectセキュアモビリティクライアントのダウンロード処理が開始されます。このアクションにより、ブラウザは最初に、実際のCisco AnyConnectセキュアモビリティクライアントのダウンロードと実行に役立つ「ヘルパー」アプリケーションをダウンロードします。ヘルパーアプリケーションは、LinuxおよびMacOS Xプラットフォーム上のJavaアプレットであり、ブラウザがActiveXコントロールを利用できる場合は、Windowsプラットフォーム上のJavaアプレットかActiveXコントロールのいずれかになります。ダウンロードされたヘルパーアプリケーションは、ユーザのWebブラウザ内の元のサイトのコンテキストで実行されます。ヘルパーアプリケーションは、VPNヘッドエンドからCisco AnyConnectセキュアモビリティクライアントをダウンロードして実行します。

クライアントがVPNヘッドエンドから展開されている場合、ヘルパーアプリケーションは、ダウンロードされたCisco AnyConnectセキュアモビリティクライアント実行可能ファイルの信頼性を正しく検証できません。攻撃者は、通常のVPN Webログインページのように見える悪意のあるWebページを作成し、ソーシャルエンジニアリングまたは他の脆弱性の不正利用を通じてユーザにアクセスを促す可能性があります。これにより、攻撃者はヘルパーアプリケーションがダウンロードして該当ユーザのマシンで実行する任意の実行可能ファイルを提供できます。この任意の実行可能ファイルは、Webブラウザを実行したのと同じオペレーティングシステム権限で実行されます。

Cisco AnyConnectセキュアモビリティクライアントの修正済みバージョンでは、コード署名を使用して、VPNヘッドエンドからダウンロードされたコンポーネントの信頼性を検証します。

この脆弱性は、Microsoft Windowsプラットフォーム上のCisco AnyConnectセキュアモビリティクライアントに関するCisco Bug ID CSCsy00904(登録ユーザ専用)と、LinuxおよびApple MacOS Xプラットフォーム上のCisco AnyConnectセキュアモビリティクライアントに関するCisco Bug ID CSCsy05934(登録ユーザ専用)に記載されています。これらの脆弱性には、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2011-2039(CSCsy00904)およびCVE-2011-2040(CSCsy05934)が割り当てられています。

任意のプログラム実行の脆弱性に関するその他の考慮事項

Cisco AnyConnectセキュアモビリティクライアントに同梱されている新しいバージョンのActiveXコントロールとJavaアプレットでは、コード署名を使用してVPNヘッドエンドからダウンロードされたコンポーネントの信頼性を検証しますが、ダウンロードされたコンポーネントを検証しない古いバージョンの問題は依然として存在します。攻撃者は、ActiveXコントロールまたはJavaアプレットの影響を受けるバージョンを提供するようにWebページを設計し、信頼性の検証が行われないために任意のプログラム実行を達成する可能性があります。

ActiveXコントロールの古いバージョンのリスクを軽減するには、次の方法があります。

- VPNヘッドエンドに修正済みのCisco AnyConnectセキュアモビリティクライアントのバージョンをロードし、（Webブラウザまたはスタンドアロンクライアントを介して）VPN接続を確立します。この操作により、新しいバージョンのActiveXコントロールを含む新しいバージョンのCisco AnyConnectセキュアモビリティクライアントがインストールされます。これが発生すると、古いバージョンのActiveXコントロールがダウンロード用に提供されている場合は、そのコントロールはインスタンス化されません。

- エンタープライズソフトウェアアップグレードインフラストラクチャを通じて、Cisco AnyConnectセキュアモビリティクライアントの修正済みバージョンを事前に導入します。この操作を行うと、前の推奨事項と同じ結果が得られます。つまり、ActiveXコントロールの新しい修正済みバージョンが展開され、ダウンロード用に提示されたコントロールの古い脆弱なバージョンがインスタンス化されなくなります。

- VPNヘッドエンドからクライアントを展開する必要がない場合は、Cisco AnyConnectセキュアモビリティクライアントActiveXコントロールのキルビットをローカルに設定できます。このアクションは、ActiveXコントロールが任意のシナリオでインスタンス化されることを防ぎます。キルビットを設定する手順は、このドキュメントの範囲外です。詳細については、Microsoftサポートの記事「How to stop an ActiveX control from running in Internet Explorer」(http://support.microsoft.com/kb/240797)と、Microsoftサポートの記事で参照されているMicrosoft Security Vulnerability Research & Defenseのブログ記事「Kill-Bit FAQ」を参照してください。

Cisco AnyConnectセキュアモビリティクライアントが使用するActiveXコントロールのCLSID（クラスID）は55963676-2F5E-4BAF-AC28-CF26AA587566で、ProgID（プログラムID）は「Cisco.AnyConnect.VPNWeb.1」です。このCLSIDは、コード署名の検証を実装する新しいバージョンのActiveXコントロールでは変更されないことに注意してください。

Javaアプレットの古いバージョンのリスクを軽減するには、Java SE 6 Update 14で導入されたJarブラックリスト機能を使用して、脆弱性のある古いバージョンをブラックリストに登録します。Jarブラックリスト機能の詳細については、http://www.oracle.com/technetwork/java/javase/6u14-137039.htmlで入手できるJava SE 6 Update 14リリースノートを参照してください。

ブラックリストに登録されるjarファイルは、次のSHA-1メッセージダイジェストによって識別されます。

# 2.3.0254, 2.3.1003, 2.3.2016, 2.4.0202, 2.4.1012,

# 2.5.0217, 2.5.1025, 2.5.2001, 2.5.2006, 2.5.2010,

# 2.5.2011, 2.5.2014, 2.5.2017, 2.5.2018, 2.5.2019

SHA1-Digest-Manifest : x17xGEFzBRXY2pLtXiIbp8J7U9M=

# 2.2.0133, 2.2.0136, 2.2.0140

SHA1-Digest-Manifest : ya6YNTzMCFYUO4lwhmz9OWhhIz8=

# 2.0.0343, 2.1.0148

SHA1-Digest-Manifest : YwuPyF/KMcxcQhgxilzNybFM2+8=

ローカル権限昇格の脆弱性

非特権ユーザは、Start Before Logon(SBL)機能を有効にし、Windowsログオン画面でCisco AnyConnectセキュアモビリティクライアントのグラフィカルユーザインターフェイス(GUI)を操作することで、LocalSystemアカウントの特権に昇格できます。

この問題を回避するため、Cisco AnyConnectセキュアモビリティクライアントの修正済みバージョンでは、Windowsのログオン画面にクライアントのグラフィカルユーザインターフェイス(GUI)が表示される際に、クライアントのGUIで可能なインタラクションの量が制限されています。

SBL機能はLinuxおよびMacOS Xクライアントでサポートされていないため、この脆弱性はWindows用Cisco AnyConnectセキュアモビリティクライアントにのみ影響を与えます。

この脆弱性は、Cisco Bug ID CSCta40556 (登録ユーザ専用)として文書化され、CVE IDとしてCVE-2011-2041が割り当てられています。

回避策

このアドバイザリに記載されている脆弱性に対する回避策はありません。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

脆弱性

Platform

First Fixed Release（修正された最初のリリース）

任意のプログラム実行の脆弱性

Microsoft Windows

2.3.185

Linux、Apple Mac OS X

2.5.3041 および 3.0.629

ローカル権限昇格の脆弱性

Microsoft Windows

2.3.254

Linux、Apple Mac OS X

Not affected

推奨リリース

次の表に、すべての推奨リリースを示します。これらの推奨リリースには、このアドバイザリに記載されているすべての脆弱性に対する修正が含まれています。シスコでは、これらの推奨リリース以降のリリースにアップグレードすることを推奨しています。

メジャー リリース

推奨リリース

2.5.x

2.5.3046

3.0.x

3.0.1047

ソフトウェアのダウンロード

Cisco AnyConnectセキュアモビリティクライアントは、Cisco.comのSoftware Centerからダウンロードできます。http://www.cisco.com/cisco/software/navigator.htmlにアクセスし、[Products] > [Security] > [Virtual Private Networks (VPN)] > [Cisco VPN Clients] > [Cisco AnyConnect Secure Mobility Client]の順に選択します。

不正利用事例と公式発表

Cisco PSIRTでは、このアドバイザリに記載されている脆弱性の悪用に関する情報を入手していません。公開されているエクスプロイトコードは、任意のプログラム実行の脆弱性を不正利用するように設計されたMetasploit Frameworkモジュールの形式でリリースされています。

任意のプログラム実行の脆弱性は、Elazar Broadによって発見され、iDefenseによってシスコに報告されました。シスコは、iDefenseに対し、この脆弱性を報告いただき、弊社と連携して脆弱性の公開に取り組んでいただいたことに感謝いたします。

Local Privilege Escalation Vulnerabilityは、お客様からシスコに報告されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110601-ac

改訂履歴

Revision 2.0

2011年7月11日

Java SE 6 Update 14以降のjarブラックリスト機能を使用してブラックリストに登録されるjarのマニフェストdigestsは、このアドバイザリの以前のバージョンでは正しくありません。このアップデートでは、正しいダイジェストが提供されます。

リビジョン 1.2

2011年7月7日

2.5.3046を2.5.xの推奨リリースとして指定。これは、Cisco Bug ID CSCtq84525により、元の推奨リリース2.5.3041がcisco.comで使用できなくなったためです。

リビジョン 1.1

2011年6月6日

任意のプログラム実行の脆弱性のアクセスの複雑さに関して受け取ったフィードバックを反映するようにCVSSスコアを更新。「不正利用と公表」セクションを更新し、任意のプログラム実行の脆弱性を不正利用するMetasploit Frameworkモジュールの可用性を示しました。

リビジョン 1.0

2011年6月1日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。