Critical

アドバイザリーID : cisco-sa-20121010-fwsm

初公開日 : 2012-10-10 16:00

バージョン 1.0 : Final

CVSSスコア : 9.0

回避策 : No Workarounds available

Cisco バグ ID : CSCtr27522 CSCtr27521 CSCtr21376 CSCtr27524 CSCtr21359 CSCtr21346

CVE-2012-4662

CVE-2012-4661

CVE-2012-4663

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用のCisco Firewall Services Module(FWSM)は、次の脆弱性の影響を受けます。

- DCERPCインスペクションバッファオーバーフローの脆弱性

- DCERPCインスペクションに関するDoS脆弱性

これらの脆弱性は相互に依存しないため、ある脆弱性の影響を受けるリリースが他の脆弱性の影響を受けるとは限りません。

これらの脆弱性が不正利用されると、認証されていないリモートの攻撃者が該当デバイスのリロードを引き起こしたり、任意のコマンドを実行したりする可能性があります。  不正利用が繰り返されると、サービス拒否(DoS)状態が発生する可能性があります。

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。これらの脆弱性を軽減する回避策はありません。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20121010-fwsm

注：Cisco Catalyst 6500シリーズASAサービスモジュールおよびCisco ASA 5500シリーズ適応型セキュリティアプライアンスも、これらの脆弱性の影響を受ける可能性があります。

Cisco Catalyst 6500シリーズASAサービスモジュールおよびCisco ASA 5500シリーズ適応型セキュリティアプライアンスに影響を与える脆弱性は、別のCisco Security Advisoryで公開されています。このアドバイザリは、次のリンクから入手できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20121010-asa

該当製品

Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用のCisco FWSMは、複数の脆弱性の影響を受けます。影響を受けるCisco FWSMのバージョンは、特定の脆弱性によって異なります。

脆弱性のある製品

影響を受けるバージョンの詳細については、このアドバイザリの「ソフトウェア バージョンおよび修正」セクションを参照してください。

DCERPCインスペクションバッファオーバーフローの脆弱性

DCERPCインスペクションが有効になっている場合、Cisco FWSMには脆弱性が存在します。  DCERPCインスペクションはデフォルトでは有効になっていません。

DCERPCインスペクションに関するDoS脆弱性

DCERPCインスペクションが有効になっている場合、Cisco FWSMには脆弱性が存在します。  DCERPCインスペクションはデフォルトでは有効になっていません。

DCERPCインスペクションが有効になっているかどうかの確認

FWSMの設定がこれらの脆弱性の影響を受けるかどうかを確認するには、 show service-policy | include dcerpcコマンドを使用します。

次の例は、DCERPCインスペクションが有効になっているCisco FWSMを示しています。

fwsm# show  service-policy | include dcerpc

Inspect: dcerpc, packet 0, drop 0, reset-drop 0

実行中のソフトウェアバージョンの判別方法

デバイスで実行されているCisco FWSMソフトウェアのバージョンを確認するには、次の例に示すように、管理者はshow versionコマンドを発行できます。

FWSM> show version

FWSM Firewall Version 4.0(16)

[...]

Cisco Adaptive Security Device Manager(ASDM)を使用してデバイスを管理しているお客様は、ログインウィンドウの表またはCisco ASDMウィンドウの左上隅に表示されるソフトウェアのバージョンを確認できます。バージョン表記は次の例のようになります。

FWSM Version: 4.0(16)

バージョン情報は、Cisco Catalyst 6500シリーズスイッチまたはCisco 7600シリーズルータからも入手できます。  デバイスで実行されているCisco FWSMソフトウェアのバージョンを確認するには、Cisco IOSソフトウェアまたはCisco Catalystオペレーティングシステムソフトウェアからshow moduleコマンドを発行して、システムにインストールされているモジュールとサブモジュールを特定します。

次の例は、Cisco FWSM(WS-SVC-FWM-1)がスロット2にインストールされているシステムを示しています。

switch>show module

Mod Ports Card Type                              Model              Serial No.

--- ----- -------------------------------------- ------------------ -----------

1   16  SFM-capable 16 port 1000mb GBIC        WS-X6516-GBIC      SAL06334NS9

2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

3    8  Intrusion Detection System             WS-SVC-IDSM-2      SAD0932089Z

4    4  SLB Application Processor Complex      WS-X6066-SLB-APC   SAD093004BD

5    2  Supervisor Engine 720 (Active)         WS-SUP720-3B       SAL0934888E

Mod MAC addresses                       Hw    Fw           Sw           Status

--- ---------------------------------- ------ ------------ ------------ -------

1  0009.11e3.ade8 to 0009.11e3.adf7   5.1   6.3(1)       8.7(0.22)BUB Ok

2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       4.0(16)      Ok

3  0014.a90c.9956 to 0014.a90c.995d   5.0   7.2(1)       7.0(4)E4     Ok

4  0014.a90c.66e6 to 0014.a90c.66ed   1.7   Unknown      Unknown      PwrDown

5  0013.c42e.7fe0 to 0013.c42e.7fe3   4.4   8.1(3)       12.2(33)SXH8 Ok

[...]

正しいスロットを見つけたら、show module <slot number>コマンドを発行して、次の例に示すように、実行中のソフトウェアバージョンを特定します。

switch>show module 2

Mod Ports Card Type                              Model              Serial No.

--- ----- -------------------------------------- ------------------ -----------

2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

Mod MAC addresses                       Hw    Fw           Sw           Status

--- ---------------------------------- ------ ------------ ------------ -------

2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       4.0(16)      Ok

[...]

上の例は、Cisco FWSMがソフトウェアバージョン4.0(16)を実行していることを示しています（Sw列を参照）。

仮想スイッチングシステム(VSS)を使用して、2台の物理Cisco Catalyst 6500シリーズスイッチを1つの論理仮想スイッチとして動作させることができる場合は、show module switch allコマンドを使用して、スイッチ1とスイッチ2に属するすべてのFWSMのソフトウェアバージョンを表示できます。このコマンドの出力は、show module <slot number>の出力に似ていますが、VSS内の各スイッチのモジュールに関するモジュール情報が含まれています。

脆弱性を含んでいないことが確認された製品

Cisco適応型セキュリティアプライアンス(ASA)およびCisco ASAサービスモジュールを除き、他のシスコ製品においてこれらの脆弱性の影響を受けるものは現在確認されていません。

詳細

Cisco FWSMは、Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用の高速な統合ファイアウォールモジュールです。FWSMは、ステートフルパケットフィルタリングとディープパケットインスペクションを備えたファイアウォールサービスを提供します。

Cisco FWSMは、次のセクションで説明する複数の脆弱性の影響を受けます。

DCERPCインスペクションバッファオーバーフローの脆弱性

DCERPCは、Microsoftの分散クライアントおよびサーバアプリケーションで広く使用されているプロトコルで、ソフトウェアクライアントがサーバ上のプログラムをリモートで実行できるようにします。

DCERPCインスペクションエンジンのコードには、認証されていないリモートの攻撃者が該当システムのリロードを引き起こしたり、スタックをオーバーフローさせて任意のコマンドを実行する可能性のある脆弱性が存在します。この脆弱性は、有効なDCERPCセッション内でのDCERPCパケットの検証が不十分であることに起因します。攻撃者は、該当システムによって検査される巧妙に細工されたDCERPCパケットを送信することで、この脆弱性を不正利用する可能性があります。

注：この脆弱性の不正利用に使用できるのは、通過トラフィックだけです。この脆弱性は、シングルコンテキストモードとマルチコンテキストモードの両方で、ルーテッドファイアウォールモードとトランスペアレントファイアウォールモードの両方に影響します。また、この脆弱性は、IPv4 トラフィックと IPv6 トラフィックでトリガーされる可能性があります。

この脆弱性は、Cisco Bug ID CSCtr27522 ( 登録 ユーザ専用)として文書化され、Common Vulnerabilities and Exposures( CVE)ID CVE-2012- 4661が割り当てられています。

DCERPCインスペクションに関するDoS脆弱性

DCERPCインスペクションエンジンには2つの脆弱性があり、認証されていないリモートの攻撃者が該当システムのリロードを引き起こすことができます。この脆弱性は、有効なDCERPCセッション内でのDCERPCパケットの検証が不十分であることに起因します。攻撃者は、該当システムによって検査される巧妙に細工されたDCERPCパケットを送信することで、この脆弱性を不正利用する可能性があります。

注：これらの脆弱性の不正利用に使用できるのは、通過トラフィックだけです。これらの脆弱性は、シングルコンテキストモードとマルチコンテキストモードの両方で、ルーテッドファイアウォールモードとトランスペアレントファイアウォールモードの両方に影響します。これらの脆弱性は、IPv4およびIPv6トラフィックによって引き起こされる可能性があります。

これらの脆弱性は、Cisco Bug ID CSCtr27524(登録ユーザ専用)とCSCtr27521 (登録ユーザ専用)として文書化され、それぞれCVE IDとしてCVE-2012-4662とCVE-2012-4663が割り当てられています。

回避策

DCERPCインスペクションが不要な場合は、無効にすることで、これらの脆弱性を緩和できます。

これらの脆弱性を軽減する他の回避策はありません。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

DCERPCインスペクションバッファオーバーフローの脆弱性

脆弱性

メジャー リリース

First Fixed Release（修正された最初のリリース）

DCERPCインスペクションバッファオーバーフローの脆弱性 – CSCtr27522

3.1

脆弱性なし

3.2

脆弱性なし

4.0

脆弱性なし

4.1

4.1(9)

DCERPCインスペクションに関するDoS脆弱性

脆弱性

メジャー リリース

First Fixed Release（修正された最初のリリース）

DCERPCインスペクションに関するDoS脆弱性 - CSCtr27524およびCSCtr27521

3.1

脆弱性なし

3.2

脆弱性なし

4.0

脆弱性なし

4.1

4.1(7)

推奨リリース

次の表に、すべての推奨リリースを示します。これらの推奨リリースには、このアドバイザリに記載されているすべての脆弱性に対する修正が含まれています。シスコでは、これらの推奨リリース以降のリリースにアップグレードすることを推奨しています。

メジャー リリース

推奨リリース

3.1

脆弱性なし

3.2

脆弱性なし

4.0

脆弱性なし

4.1

4.1(9)

ソフトウェアのダウンロード

Cisco FWSMソフトウェアは、Software Center(Cisco.com)からダウンロードできます。 http://www.cisco.com/cisco/software/navigator.html

Cisco Catalyst 6500シリーズASAサービスモジュールの場合は、[製品(Products)] > [Ciscoインターフェイスおよびモジュール(Cisco Interfaces and Modules)] > [Ciscoサービスモジュール(Cisco Services Modules)] > [Cisco Catalyst 6500 Series Firewall Services Module] > [ASAサービスモジュール(FWSM)ソフトウェア(ASA Services Module (FWSM) Software)] に移動します。これらのバージョンの一部は暫定バージョンであり、ダウンロードページの[Interim] タブを展開すると表示されます。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

このセキュリティアドバイザリに記載されている脆弱性は、社内テストで発見されたものです。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20121010-fwsm

改訂履歴

リビジョン 1.0

2012年10月10日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。