Critical

アドバイザリーID : cisco-sa-20120126-ironport

初公開日 : 2012-01-26 17:00

最終更新日 : 2014-12-08 21:21

バージョン 2.0 : Final

CVSSスコア : 10.0

回避策 : No Workarounds available

Cisco バグ ID : CSCzv32432 CSCuo90523 CSCzv44580

CVE-2011-4862

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Webセキュリティアプライアンス(WSA)、Cisco Eメールセキュリティアプライアンス(ESA)、およびCiscoコンテンツセキュリティ管理アプライアンス(SMA)用のCisco AsyncOSソフトウェアには、リモートの認証されていない攻撃者が特権権限を使用して任意のコードを実行する可能性のある脆弱性が存在します。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性を軽減する回避策があります。

注：このセキュリティアドバイザリは、Cisco WSAに関する重要な情報を含むように更新されています

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120126-ironport

該当製品

脆弱性のある製品

該当するバージョンのCisco AsyncOSソフトウェアを実行している次の製品が該当します。

- Cisco ESAハードウェアアプライアンスのすべてのモデル

- Cisco SMAハードウェアアプライアンスのすべてのモデル

- Cisco WSAの全モデル（ハードウェアと仮想アプライアンスの両方）

注：Cisco WSA用のCisco AsyncOSソフトウェアがこの脆弱性の影響を受けるのは、セットアップ完了後にTelnetアクセスが無効になっているため、システムセットアップウィザード(SSW)が実行されていない場合のみです。

SSWが完了しない限り、Cisco WSAは完全には動作しません。これにより、Cisco WSAの脆弱性の範囲が制限されます。

この脆弱性が不正利用されるのは、該当システムでリモートアクセス用にTelnetが有効になっている場合だけです。システムでTelnetが有効になっているかどうかを確認するには、管理者がnetstatコマンドを使用して、デフォルトのTelnet TCPポート23がリスニングステートであることを確認します。次の例は、Telnetが有効になっているCisco ESAを示しています。

ciscoesa> netstat

Active Internet connections (including servers)

Proto Recv-Q Send-Q  Local Address          Foreign Address       (state)

[...]

tcp4       0      0 172.18.254.80.21       *.*                    LISTEN

tcp4       0      0 172.18.254.80.22       *.*                    LISTEN

tcp4       0      0 172.18.254.80.23       *.*                    LISTEN

[...]

実行中のソフトウェアバージョンの確認

脆弱性のあるバージョンのCisco AsyncOSソフトウェアがアプライアンスで実行されているかどうかを確認するには、versionコマンドを発行します。次の例は、Cisco ESAソフトウェアバージョン7.6.2-201用のCisco AsyncOSソフトウェアを実行しているデバイスを示しています。

ciscoesa> version

Current Version

===============

Product: Cisco IronPort X1070 Messaging Gateway(tm) Appliance

Model: X1070

Version: 7.6.2-201

[...]

脆弱性を含んでいないことが確認された製品

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco ESAは、スパム対策、ウイルス対策、暗号化、デジタル著作権管理、およびアーカイブテクノロジーを組み合わせたEメール管理と保護を提供します。Cisco SMAは、ポリシーとランタイムデータを一元化および統合するように設計された柔軟な管理ツールで、複数のCisco IronPortセキュリティアプライアンスに対して単一の管理インターフェイスを提供します。

Cisco WSAは、高度なマルウェア防御、アプリケーションの可視性と制御(AVC)、アクセプタブルユースポリシーの制御、レポート、およびセキュアなモビリティを1つのプラットフォームに統合する、セキュアなWebゲートウェイです。

Cisco AsyncOSのTelnetコードの脆弱性により、認証されていないリモートの攻撃者が該当システムで任意のコードを実行する可能性があります。

この脆弱性は、Telnet暗号化キーを処理する際の不十分な境界チェックに起因します。  認証されていないリモートの攻撃者は、悪意のある要求をターゲットシステムに送信することにより、この脆弱性を不正利用する可能性があります。  成功した場合、攻撃者はシステム上で任意のコードを管理者特権で実行する可能性があります。

注：Cisco WSA用のCisco AsyncOSソフトウェアがこの脆弱性の影響を受けるのは、セットアップ完了後にTelnetアクセスが無効になっているため、 システムセットアップウィザード(SSW)が実行されていない場合のみです。

SSWが完了しない限り、Cisco WSAは完全には動作しません。これにより、Cisco WSAの脆弱性の範囲が制限されます。

この脆弱性は、Cisco ESAのCisco Bug ID CSCzv32432( 登録ユーザ専用)、Cisco SMAの CSCzv44580( 登録 ユーザ専用)、およびCisco WSAの CSCuo90523 ( 登録 ユーザ専用)に記載されています。

この脆弱性は、Cisco IronPortのバグ83262で以前に文書化されています。Cisco IronPortは、お客様が利用できない内部システムを使用してバグを追跡します。Cisco IronPortのバグトラッキングIDは、参照用としてのみ提供されています。

この脆弱性には、Common Vulnerabilities and Exposures(CVE)IDとしてCVE -2011-4862が割り当てられています。

回避策

Cisco ESAおよびCisco SMA用のCisco AsyncOSソフトウェアの一部のバージョンでは、管理ポートにTelnetが設定されています。この脆弱性を軽減するために、Telnetサービスを無効にできます。管理者は、管理グラフィカルユーザインターフェイス(GUI)を使用するか、またはコマンドラインインターフェイス(CLI)でinterfaceconfigコマンドを使用して、Telnetを無効にできます。セキュリティのベストプラクティスとして、Telnetの代わりにセキュアシェル(SSH)を使用する必要があります。

GUI経由でTelnetを無効にするには、次の手順を実行します。

ステップ1:[Network] > [IP Interfaces] > [interface_name]に移動します。

ステップ2:Telnetサービスの横にあるチェックボックスをオフにします。

ステップ3:[Submit] ボタンをクリックして変更を送信します。

ステップ4:[Commit Change] ボタンをクリックしてこれらの変更を有効にします。

CLI経由でTelnetを無効にするには、次の例に示すようにinterfaceconfigコマンドを使用します。

ciscoesa> interfaceconfig

Currently configured interfaces:

1. Data 1 (192.168.1.1/24 on Data1: mail3.example.com)

2. Data 2 (192.168.2.1/24 on Data2: mail3.example.com)

3. Management (192.168.42.42/24 on Management: mail3.example.com)

Choose the operation you want to perform:

- NEW - Create a new interface.

- EDIT - Modify an interface.

- GROUPS - Define interface groups.

- DELETE - Remove an interface.

[]> edit

Enter the number of the interface you wish to edit.

[]> 3

<..output omitted>

Do you want to enable Telnet on this interface? [N]> N

Do you want to enable SSH on this interface? [N]> Y

注：interfaceconfigコマンドの詳細については、次のリンクにある『Cisco AsyncOS Daily Management Guide』の「Other Tasks in the GUI」の項を参照してください。

http://www.cisco.com/en/US/docs/security/esa/esa7.5/ESA_7.5_Daily_Management_Guide.pdf

Cisco WSA用のCisco AsyncOSソフトウェアでは、Telnetはデフォルトで有効になっています。ただし、SSWが完了すると、Telnetは自動的に無効になります。

Cisco Applied Mitigation Bulletin(AMB)『Identifying and Mitigating Exploitation of the Cisco IronPort Appliances Telnet Remote Code Execution Vulnerability』は、https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20120126-ironportから入手できます。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt のシスコ セキュリティ アドバイザリ、応答、および通知のアーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

次の表に、Cisco ESA用Cisco AsyncOSソフトウェアの最初の修正済みリリースを示します。

メジャー リリース

最初の修正日

7.1以前

7.1.5-101

7.3

7.3.1-101

7.5

7.5.1-102

7.6

7.6.1-022

8.0

Not affected

8.5

Not affected

8.6

Not affected

次の表に、Cisco SMA用Cisco AsyncOSソフトウェアの最初の修正済みリリースを示します。

メジャー リリース

最初の修正日

7.2以前

7.2.2-106

7.7

7.7.0-206

7.8

Not Available:7.9以降にアップグレードします。

7.9

7.9.0-107

8.0

Not affected

8.1

Not affected

8.2

Not affected

8.3

Not affected

次の表に、Cisco WSA用Cisco AsyncOSソフトウェアの最初の修正済みリリースを示します。

メジャー リリース

最初の修正日

7.1以前

Not Available:7.7以降にアップグレードします。

7.5

Not Available:7.7以降にアップグレードします。

7.7

7.7.0-757

8.0

8.0.6-073

8.1

8.1.0-235

不正利用事例と公式発表

Cisco ESA、Cisco SMA、およびCisco WSA用のCisco AsyncOSソフトウェアに影響を与えるtelnetdサービスの脆弱性は、2011年12月23日にFreeBSDプロジェクトによって公開されました。FreeBSDプロジェクトのアドバイザリは次のリンクから入手できます。

http://security.freebsd.org/advisories/FreeBSD-SA-11:08.telnetd.asc

Cisco WSAの脆弱性は、Glafkos Charalambous氏によってシスコに報告されました

Cisco Product Security Incident Response Team(PSIRT)は、該当するCisco AsyncOSソフトウェアバージョンでこの脆弱性を不正利用する可能性があるMetasploitフレームワークのエクスプロイトモジュールを認識しています。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120126-ironport

改訂履歴

Revision 2.0

2014年10月16日

Cisco WSAに関する重要な情報を追加。

リビジョン 1.4

2012年7月14日

影響を受ける製品のメタタグを更新。

リビジョン 1.3

2012年2月8日

HTML形式のマイナーな問題を修正するためのアドバイザリを更新。

リビジョン 1.2

2012年2月7日

IronPortソフトウェアアップデートの可用性を含むアドバイザリを更新。

リビジョン 1.1

2012年1月26日

アドバイザリを更新し、Cisco Applied Mitigation Bulletinの可用性を追加。

リビジョン 1.0

2012年1月26日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。