High

アドバイザリーID : cisco-sa-20111005-asa

初公開日 : 2011-10-05 16:00

最終更新日 : 2012-07-14 09:38

バージョン 1.2 : Final

CVSSスコア : 7.8

回避策 : No Workarounds available

Cisco バグ ID : CSCtq57697

CVE-2011-3304

CVE-2011-3300

CVE-2011-3301

CVE-2011-3302

CVE-2011-3303

CVE-2011-3298

CVE-2011-3299

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスおよびCisco Catalyst 6500シリーズASAサービスモジュールは、次に示す複数の脆弱性の影響を受けます。

- MSNインスタントメッセンジャー(IM)インスペクションにおけるDoS脆弱性

- TACACS+認証バイパスの脆弱性

- SunRPCインスペクションに関するDoS脆弱性4件

- Internet Locator Service(ILS)インスペクションにおけるDoS脆弱性

これらの脆弱性は独立しています。ある脆弱性の影響を受けるリリースが、必ずしも他の脆弱性の影響を受けるとは限りません。

一部の脆弱性に対する回避策は、このアドバイザリに記載されています。

このアドバイザリは、 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20111005-asa で公開されています。

注：Cisco Firewall Services Module(FWSM)は、TACACS+認証バイパスの脆弱性、SunRPCインスペクションのサービス拒否(DoS)の脆弱性、およびILSインスペクションのDoSの脆弱性の影響を受けます。FWSMに影響を及ぼす脆弱性については、別途Cisco Security Advisoryが公開されています。このアドバイザリは、http://www.cisco.com/warp/public/707/cisco-sa-20110831-fwsm.shtmlで入手できます。

該当製品

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスとCisco Catalyst 6500シリーズASAサービスモジュールは、複数の脆弱性の影響を受けます。影響を受けるCisco ASAソフトウェアのバージョンは、特定の脆弱性によって異なります。

脆弱性のある製品

個々のバージョン情報については、このアドバイザリの「ソフトウェア バージョンおよび修正」セクションを参照してください。

MSN IMインスペクションにおけるDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのMSN IMインスペクション機能は、DoS脆弱性の影響を受けます。

MSN IMインスペクションは、デフォルトでは有効になっていません。

管理者は、MSN IMインスペクションを有効にして、メッセージがパラメータに違反したときのアクションを指定し、IMインスペクションポリシーマップを作成できます。次の例に示すように、IMインスペクションを有効にすると、インスペクションポリシーマップを適用できます。

policy-map type inspect im MY-MSN-INSPECT

parameters

match protocol msn-im

log

!

policy-map global_policy

class inspection_default

inspect im MY-MSN-INSPECT

TACACS+認証バイパスの脆弱性

認証バイパスの脆弱性は、Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのTACACS+実装に影響します。

TACACS+で認証、許可、またはアカウンティング(AAA)を有効にするには、AAAプロトコルごとに少なくとも1つのAAAサーバグループを作成し、aaa-serverコマンドを使用して各グループに1つ以上のサーバを追加する必要があります。AAAサーバグループは名前で指定します。次の例は、AAAサーバグループをTACACS+認証用に設定する方法を示しています。

aaa-server my-tacacs-sever protocol tacacs+

aaa-server my-tacacs-server (inside) host 203.0.113.11

SunRPCインスペクションに関するDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのSunRPCインスペクション機能には、4つのDoS脆弱性が影響します。

SunRPCインスペクションはデフォルトで有効になっています。

SunRPCインスペクションが有効になっているかどうかを確認するには、show service-policy | include sunrpc コマンドを実行して、次の例に示すような出力が返されることを確認します。

ciscoasa# show service-policy | include sunrpc

Inspect: sunrpc, packet 0, drop 0, reset-drop 0

Cisco ASAでSunRPCインスペクションを有効にするには、次の設定コマンドを使用します。

class-map inspection_default

match default-inspection-traffic

!

policy-map global_policy

class inspection_default

...

inspect sunrpc

...

!

service-policy global_policy global

ILSインスペクションのDoS脆弱性

DoS脆弱性は、Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのILSインスペクション機能に影響を与えます。

ILSインスペクションはデフォルトでは有効になっていません。

ILSインスペクションが有効になっているかどうかを確認するには、show service-policy | include ils コマンドを使用して、次の例に示すような出力が返されることを確認します。

ciscoasa# show service-policy | include ils

Inspect: ils, packet 0, drop 0, reset-drop 0

Cisco ASAでILSインスペクションを有効にするには、次の設定コマンドを使用します。

class-map inspection_default

match default-inspection-traffic

!

policy-map global_policy

class inspection_default

...

inspect ils

...

!

service-policy global_policy global

実行中のソフトウェアバージョンの判別方法

脆弱性のあるバージョンの Cisco ASA ソフトウェアがアプライアンスで実行されているかどうかを知るには、show version コマンドを発行します。次の例は、ソフトウェアバージョン8.4(1)を実行しているCisco ASA 5500シリーズ適応型セキュリティアプライアンスを示しています。

ASA#show version | include Version

Cisco Adaptive Security Appliance Software Version 8.4(1)

Device Manager Version 6.4(1)

Cisco ASDMを使用してデバイスを管理しているお客様は、ログインウィンドウまたはCisco ASDMウィンドウの左上隅に表示される表でソフトウェアバージョンを確認できます。

脆弱性を含んでいないことが確認された製品

Cisco FWSMを除き、他のシスコ製品においてこれらの脆弱性の影響を受けるものは現在確認されていません。

詳細

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスおよびCisco Catalyst 6500シリーズASAサービスモジュールは、次の脆弱性の影響を受けます。

MSN IMインスペクションにおけるDoS脆弱性

IM検査エンジンを使用すると、IMアプリケーションをきめ細かい制御を適用して、ネットワークの使用状況を制御し、機密データの漏洩、ワームの伝播、および企業ネットワークに対するその他の脅威を阻止できます。

DoS脆弱性は、Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのMSN IMインスペクション機能に影響を与えます。不正利用に成功すると、認証されていない攻撃者が該当デバイスのリロードを引き起こし、DoS状態が持続する可能性があります。

注：この脆弱性は通過トラフィックによってのみ引き起こされます。アプライアンス宛てのトラフィックでは引き起こされません。MSN IMインスペクションは、デフォルトでは有効になっていません。

この脆弱性は、Cisco Bug ID CSCtl67486(登録ユーザ専用)として文書化され、CVE ID CVE-2011-3304が割り当てられています

TACACS+認証バイパスの脆弱性

AAAを使用すると、ASAはユーザの身元（認証）、ユーザが実行できる操作（許可）、ユーザが実行した操作（アカウンティング）を判別できます。Cisco ASAは、VPNユーザ、ファイアウォールセッション、デバイスへの管理アクセスに対してTACACS+認証をサポートしています。

Cisco ASAのTACACS+実装には、認証バイパスの脆弱性が存在します。不正利用に成功すると、リモート攻撃者はVPNユーザのTACACS+認証、ファイアウォールセッション、またはデバイスへの管理アクセスをバイパスできる可能性があります。攻撃者がこの脆弱性を不正利用するには、ASAとTACACS+サーバ間のネットワークにアクセスできる必要があります。

この脆弱性は、Cisco Bug ID CSCto40365(登録ユーザ専用)として文書化され、CVE IDとしてCVE-2011-3298が割り当てられています。

SunRPCインスペクションに関するDoS脆弱性

Sun RPCインスペクションエンジンは、Sun RPCプロトコルのアプリケーションインスペクションを実行します。Sun RPCは、Network File System(NFS)およびNetwork Information Service(NIS)によって使用されます。Sun RPCサービスは任意のポートで実行できます。クライアントがサーバー上のSun RPCサービスにアクセスしようとすると、サービスが実行されているポートを学習する必要があります。クライアントは、既知のポート111でポートマッパープロセス（通常はrpcbind）を照会することでこれを実行します。

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのSunRPCインスペクション機能には4つのDoS脆弱性があり、認証されていない攻撃者が該当デバイスのリロードを引き起こす可能性があります。

注：これらの脆弱性は、通過トラフィックによってのみ引き起こされます。アプライアンス宛てのトラフィックでは引き起こされません。これらの脆弱性は、TCPではなくUDPパケットを使用することで引き起こされる可能性があります。SunRPCインスペクションはデフォルトで有効になっています。

これらの脆弱性は、Cisco Bug ID CSCto92380（登録ユーザ専用）、CSCtq06065(登録ユーザ専用)、CSCtq06062（登録ユーザ専用）、CSCto92398(登録ユーザ専用)として文書化され、CVE IDとしてCVE-2011-329が9割されています9、CVE-2011-3300、CVE-2011-3301およびCVE-2011-3302

ILSインスペクションのDoS脆弱性

ILSインスペクションエンジンは、LDAPを使用してディレクトリ情報をILSサーバと交換するMicrosoft NetMeeting、SiteServer、およびActive Directory製品のNATサポートを提供します。

DoS脆弱性は、Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのILSインスペクション機能に影響を与えます。不正利用に成功すると、認証されていない攻撃者が該当デバイスのリロードを引き起こし、DoS状態が持続する可能性があります。

注：この脆弱性は通過トラフィックによってのみ引き起こされます。アプライアンス宛てのトラフィックでは引き起こされません。ILSインスペクションはデフォルトでは有効になっていません。

この脆弱性は、Cisco Bug ID CSCtq57697(登録ユーザ専用)として文書化され、CVE CVE-2011-3303が割り当てられています。

回避策

このCiscoセキュリティアドバイザリでは、複数の個別の脆弱性について説明しています。これらの脆弱性およびそれぞれ対応策は互いから独立しています。

MSNインスタントメッセンジャー(IM)インスペクションに関するDoS脆弱性

MSN IMインスペクションが不要な場合は、MSN IMインスペクションを無効にすることで、この脆弱性を軽減できます。管理者は、ポリシーマップ設定のクラスコンフィギュレーションサブモードでno inspect imコマンドを発行して、MSN IMインスペクションを無効にすることができます。MSN IMインスペクションを無効にすると、MSN IMトラフィックがセキュリティアプライアンスを通過しなくなることがあります。

TACACS+認証バイパスの脆弱性

RADIUS、Active Directoryなどの別の認証プロトコルを使用する以外に、この脆弱性に対する回避策はありません。

SunRPCインスペクションのDoS脆弱性

SunRPCインスペクションが不要な場合、管理者はこの脆弱性を無効にすることができます。管理者は、ポリシーマップ設定のクラス設定サブモードでno inspect sunrpcコマンドを発行することにより、SunRPCインスペクションを無効にすることができます。SunRPCインスペクションを無効にすると、SunRPCトラフィックがセキュリティアプライアンスを通過しなくなる可能性があります。

ILSインスペクションのDoS脆弱性

ILSインスペクションが不要な場合は、無効にすることで、この脆弱性を軽減できます。管理者は、ポリシーマップコンフィギュレーションのクラスコンフィギュレーションサブモードでno inspect ilsコマンドを発行して、ILSインスペクションを無効にすることができます。ILSインスペクションを無効にすると、ILSトラフィックがセキュリティアプライアンスを通過しなくなることがあります。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

脆弱性

メジャー リリース

First Fixed Release（修正された最初のリリース）

MSNインスタントメッセンジャー(IM)インスペクションにおけるDoS脆弱性(CSCtl67486)

7.0

脆弱性なし

7.1

脆弱性なし

7.2

7.2（5.3）

8.0

8.0（5.25）

8.1

8.1（2.50）

8.2

8.2（5.11）

8.3

8.3（2.23）

8.4

8.4(2)

8.5

8.5（1.1）

TACACS+認証バイパスの脆弱性(CSCto40365)

7.0

7.0（8.13）

7.1

脆弱性あり、7.2(5.4)以降に移行

7.2

7.2（5.3）

8.0

8.0（5.24）

8.1

8.1（2.50）

8.2

8.2(5)

8.3

8.3（2.18）

8.4

8.4（1.10）

8.5

8.5（1.1）

SunRPCインスペクションに関するDoS脆弱性

(CSCto92380、CSCtq06065、CSCtq06062、CSCto92398)

7.0

7.0（8.13）

7.1

脆弱性あり、7.2(5.4)以降に移行

7.2

7.2（5.4）

8.0

8.0（5.25）

8.1

脆弱性あり、8.2以降に移行

8.2

8.2（5.11）

8.3

8.3（2.23）

8.4

8.4（2.6）

8.5

8.5（1.1）

ILSインスペクションのDoS脆弱性(CSCtq57697)

7.0

7.0（8.13）

7.1

脆弱性あり、7.2(5.4)以降に移行

7.2

7.2（5.4）

8.0

8.0（5.25）

8.1

8.1（2.50）

8.2

8.2（5.6）

8.3

8.3（2.23）

8.4

8.4（2.7）

8.5

8.5（1.1）

推奨リリース

次の表に、すべての推奨リリースを示します。これらの推奨リリースには、このアドバイザリに記載されているすべての脆弱性に対する修正が含まれています。シスコでは、これらの推奨リリース以降のリリースにアップグレードすることを推奨しています。

メジャー リリース

推奨リリース

7.0

7.0（8.13）

7.1

脆弱性あり、7.2(5.4)以降に移行

7.2

7.2（5.4）

8.0

8.0（5.25）

8.1

脆弱性あり、8.2以降に移行

8.2

8.2（5.13）

8.3

8.3（2.25）

8.4

8.4（2.8）

8.5

8.5（1.1）

Cisco ASAソフトウェアは、http://www.cisco.com/cisco/software/navigator.html?mdfid=279513386&flowid=22664からダウンロードできます。これらのバージョンの一部は暫定バージョンであり、ダウンロードページの[Interim（暫定）]タブを展開すると表示されます。

不正利用事例と公式発表

このアドバイザリで説明されている脆弱性の公表や悪用に関する情報は Cisco PSIRT には寄せられていません。

すべてのDoS脆弱性は、社内テストで発見されたものです。

TACACS+認証の脆弱性は、カスタマーサービスリクエストのトラブルシューティング中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20111005-asa

改訂履歴

リビジョン 1.2

2012年7月14日

影響を受ける製品のメタタグを更新。

改訂
1.1

2011年10月5日

推奨リリースの表を更新。

改訂
1.0

2011年10月5日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。