High

アドバイザリーID : cisco-sa-20120620-asaipv6

初公開日 : 2012-06-20 16:00

バージョン 1.0 : Final

CVSSスコア : 7.8

回避策 : No Workarounds available

Cisco バグ ID : CSCua27134

CVE-2012-3058

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco ASA 5500シリーズ適応型セキュリティアプライアンス(Cisco ASA)およびCisco Catalyst 6500シリーズASAサービスモジュール(Cisco ASASM)には、認証されていないリモートの攻撃者が該当デバイスのリロードを引き起こす可能性のある脆弱性が存在します。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性を軽減する回避策があります。このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120620-asaipv6

該当製品

Cisco ASAおよびCisco ASASMは、この脆弱性の影響を受けます。Cisco ASAソフトウェアのすべてのバージョンがこの脆弱性の影響を受けるわけではありません。該当するバージョンの詳細については、このセキュリティアドバイザリの「ソフトウェアバージョンと修正」セクションを参照してください。

脆弱性のある製品

具体的なバージョン情報については、このアドバイザリの「ソフトウェアバージョンと修正」セクションを参照してください。

Cisco ASAおよびCisco ASASMには脆弱性があり、認証されていないリモートの攻撃者が該当デバイスのリロードを引き起こす可能性があります。

Cisco ASAソフトウェアは、次のすべての条件が満たされている場合、この脆弱性の影響を受ける可能性があります。

- Cisco ASAまたはCisco ASASMがトランスペアレントファイアウォールモードで動作している

- Cisco ASAまたはCisco ASASMでIPv6が有効になっている

- Cisco ASAまたはCisco ASASMでシステムロギングが有効になっており、システムがメッセージID 110003を記録するように設定されている

Cisco ASAまたはCisco ASASMがトランスペアレントファイアウォールモードで動作していることを確認するには、show firewallコマンドを発行します。次の例は、トランスペアレントファイアウォールモードで実行されているCisco ASAを示しています。

ciscoasa# show firewall

Firewall mode: Transparent

IPv6 は、デフォルトでは有効化されていません。 トランスペアレントファイアウォールモードで設定されたCisco ASAまたはCisco ASASMでIPv6を有効にするには、IPv6が正しく動作するようにリンクローカルアドレスを設定する必要があります。グローバル アドレスを設定すると、リンクローカル アドレスは各インターフェイスで自動的に設定されます。

Cisco ASAまたはCisco ASASMでIPv6が有効になっていることを確認するには、show ipv6 interfaceコマンドを発行して、コマンドが出力を返すことを確認します。次の例は、トランスペアレントファイアウォールモードで動作し、IPv6が有効になっている2つのインターフェイス（内部と外部）が設定されたCisco ASAを示しています。

ciscoasa# show ipv6 interface

outside is up, line protocol is up

IPv6 is enabled, link-local address is fe80::219:2fff:fe83:4f42

No global unicast address is configured

Joined group address(es):

ff02::1

ff02::1:ff83:4f42

ICMP error messages limited to one every 100 milliseconds

ICMP redirects are enabled

ND DAD is enabled, number of DAD attempts: 1

ND reachable time is 30000 milliseconds

ND advertised retransmit interval is 1000 milliseconds

Hosts use stateless autoconfig for addresses.

inside is up, line protocol is up

IPv6 is enabled, link-local address is fe80::219:2fff:fe83:4f43

No global unicast address is configured

Joined group address(es):

ff02::1

ff02::1:ff83:4f43

ICMP error messages limited to one every 100 milliseconds

ICMP redirects are enabled

ND DAD is enabled, number of DAD attempts: 1

ND reachable time is 30000 milliseconds

ND advertised retransmit interval is 1000 milliseconds

Hosts use stateless autoconfig for addresses.

SyslogメッセージID 110003は、Cisco ASAがインターフェイスのルーティングテーブルでネクストホップを見つけられない場合に生成されます。このsyslogメッセージに関する詳細は、http://www.cisco.com/en/US/products/ps6120/products_system_message_guides_list.htmlにある『Cisco ASA System Log Messages』ガイドを参照してください。Cisco ASAではデフォルトでロギングは有効になっていませんが、ロギングが有効になっている場合、Cisco ASAは自動的にsyslogメッセージ110003を有効にします。

Syslogメッセージ110003のデフォルトの重大度レベルは6（情報）です。レベル6以上（レベル6 ～ 7）でロギングが設定されているCisco ASAソフトウェアには、脆弱性が存在する可能性があります。

ロギングが有効になっているかどうかを確認するには、show loggingコマンドを発行します。次の例は、レベル6（情報）でロギングが有効でバッファロギングが有効になっているCisco ASAを示しています。

ciscoasa#

show logging

Syslog logging: enabled

Facility: 20

Timestamp logging: disabled

Standby logging: disabled

Debug-trace logging: disabled

Console logging: disabled

Monitor logging: disabled

Buffer logging: level informational, 2 messages logged

Trap logging: disabled

Permit-hostdown logging: disabled

History logging: disabled

Device ID: disabled

Mail logging: disabled

ASDM logging: disabled

syslogメッセージ110003を含むカスタムメッセージリスト(logging listコマンドで作成)を、重大度またはメッセージIDを明示的に含めることも、脆弱な設定です。

syslogメッセージのデフォルトの重大度レベルは変更できます。syslogメッセージ110003のデフォルトの重大度レベルが変更され、新しい重大度レベルで任意の宛先にログを記録するようにデバイスが設定されている場合、そのデバイスには脆弱性が存在します。

実行ソフトウェア バージョンの判別

脆弱性のあるバージョンの Cisco ASA ソフトウェアがアプライアンスで実行されているかどうかを知るには、show version コマンドを発行します。次の例は、ソフトウェアバージョン8.4(1)を実行しているCisco ASA 5500シリーズ適応型セキュリティアプライアンスを示しています。

ciscoasa#

show version | include Version

Cisco Adaptive Security Appliance Software Version 8.4(1)

Device Manager Version 6.4(1)

Cisco Adaptive Security Device Manager(ASDM)を使用してデバイスを管理しているお客様は、ログインウィンドウまたはCisco ASDMウィンドウの左上隅に表示される表でソフトウェアバージョンを確認できます。

Cisco PIXセキュリティアプライアンスについての情報

Cisco PIXは、このセキュリティアドバイザリに記載されている脆弱性の影響を受けません。Cisco PIXはメンテナンスサポートが終了しています。Cisco PIXをご使用のお客様には、Cisco ASAへの移行をお勧めします。

脆弱性を含んでいないことが確認された製品

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco ASA 5500シリーズ適応型セキュリティアプライアンス(Cisco ASA)およびCisco Catalyst 6500シリーズASAサービスモジュール(Cisco ASASM)には、認証されていないリモートの攻撃者が該当デバイスのリロードを引き起こす可能性のある脆弱性が存在します。

注： この脆弱性は、IPv6トランジットトラフィックによってのみトリガーされ、トランスペアレントファイアウォールモード（シングルまたはマルチコンテキストモード）で設定されている場合は、Cisco ASAとCisco ASASMの両方に影響します。

この脆弱性は、Cisco Bug ID CSCua27134( 登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2012-3058が割り当てられています。

回避策

有効な回避策は、Cisco ASAがsyslogメッセージ110003を生成しないようにすることです。no logging message 110003コマンドを使用して、syslogメッセージ110003を無効にします。

メッセージが生成されていないことを確認するには、show running-configuration loggingコマンドを発行します。次の例は、メッセージ110003のロギングが無効になっている場合のコマンドの出力を示しています。

ciscoasa# show run logging

[...]

no logging message 110003

[...]

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

脆弱性

メジャー リリース

First Fixed Release（修正された最初のリリース）

Cisco ASA IPv6パケットに関するDoS脆弱性

7.0

Not affected

7.1

Not affected

7.2

Not affected

8.0

Not affected

8.1

Not affected

8.2

Not affected

8.3

Not affected

8.41

8.4（4.1）

8.5

8.5(1.11)（2012年7月に提供開始）

8.6

8.6(1.3)（2012年7月に提供開始）

1この脆弱性は、8.4(2)で導入されました。8.4(2)より前のバージョンは、この脆弱性の影響を受けません

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

この脆弱性は、サービスリクエストの解決中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120620-asaipv6

改訂履歴

リビジョン 1.0

2012年6月20日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。