Critical
Critical
アドバイザリーID : cisco-sa-20130626-esa
初公開日 : 2013-06-26 16:00
バージョン 1.0 : Final
CVSSスコア :
9.0
回避策 :
No Workarounds available
Cisco バグ ID : CSCzv24579
CSCzv63329
CSCzv78669
CSCzv85726
CSCzv44633
CSCzv58669
CSCzv81712
CSCzv25573
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco Eメールセキュリティアプライアンス(ESA)用のCisco IronPort AsyncOSソフトウェアは、次の脆弱性の影響を受けます。
この2つのDoS脆弱性のいずれかが悪用されると、いくつかの重要なプロセスが応答しなくなり、該当システムが不安定になる可能性があります。
シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。これらの脆弱性に対しては回避策があります。このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-esa
- Webフレームワークの認証されたコマンドインジェクションの脆弱性
- IronPortスパム検疫のDoS脆弱性
- 管理GUIのDoS脆弱性
この2つのDoS脆弱性のいずれかが悪用されると、いくつかの重要なプロセスが応答しなくなり、該当システムが不安定になる可能性があります。
シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。これらの脆弱性に対しては回避策があります。このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-esa
該当製品
脆弱性のある製品
脆弱性のあるバージョンのCisco IronPort AsyncOSソフトウェアを実行しているCisco Eメールセキュリティアプライアンス(ESA)のすべてのモデルは、このアドバイザリに記載されている1つ以上の脆弱性の影響を受けます。
このアドバイザリに記載されている脆弱性の一部は、Cisco WebセキュリティおよびCiscoコンテンツ管理セキュリティアプライアンス用のCisco IronPort AsyncOSソフトウェアに影響します。
Cisco Webセキュリティアプライアンスに影響する脆弱性についての詳細は、Ciscoセキュリティアドバイザリ『Multiple Vulnerabilities in Cisco Web Security Appliance』(https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-wsa)を、Ciscoコンテンツ管理セキュリティアプライアンスに影響する脆弱性についての詳細は、『Multiple Vulnerabilities in Cisco Content Management Security Appliance』(https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-sma)を参照してください。
このアドバイザリに記載されている脆弱性の一部は、Cisco WebセキュリティおよびCiscoコンテンツ管理セキュリティアプライアンス用のCisco IronPort AsyncOSソフトウェアに影響します。
Cisco Webセキュリティアプライアンスに影響する脆弱性についての詳細は、Ciscoセキュリティアドバイザリ『Multiple Vulnerabilities in Cisco Web Security Appliance』(https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-wsa)を、Ciscoコンテンツ管理セキュリティアプライアンスに影響する脆弱性についての詳細は、『Multiple Vulnerabilities in Cisco Content Management Security Appliance』(https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-sma)を参照してください。
実行中のソフトウェアバージョンの確認
脆弱性のあるバージョンのCisco IronPort AsyncOSソフトウェアがアプライアンスで実行されているかどうかを確認するには、versionコマンドを発行します。次の例は、Cisco IronPort AsyncOSソフトウェアバージョン7.6.2-201を実行しているデバイスを示しています。
ciscoesa> version
Current Version
===============
Product: Cisco IronPort X1070 Messaging Gateway(tm) Appliance
Model: X1070
Version: 7.6.2-201
[...]
脆弱性を含んでいないことが確認された製品
Cisco Content Security ManagementおよびCisco Webセキュリティアプライアンスを除き、他のシスコ製品においてこれらの脆弱性の影響を受けるものは現在確認されていません。
詳細
Cisco Eメールセキュリティアプライアンス(ESA)は、スパム対策、ウイルス対策、および暗号化テクノロジーを組み合わせたEメール管理と保護を提供します。
Webフレームワークの認証されたコマンドインジェクションの脆弱性
Webフレームワークコードの脆弱性により、認証されたリモートの攻撃者が、基盤となるオペレーティングシステムで任意のコマンドを管理者特権で実行できる可能性があります。
この脆弱性は、ユーザが指定した入力を適切にサニタイズできないことに起因します。サニタイズされた入力は、デバイスの基盤となるコマンドラインインターフェイスを利用するアクションの実行に使用されます。認証されているものの権限のない攻撃者は、巧妙に細工されたURLを該当システムに送信するか、または有効なユーザに悪意のあるURLをクリックさせることで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、十分な知識を持つ攻撃者が該当デバイスを完全に制御できる可能性があります。
IronPortスパム検疫のDoS脆弱性
WebフレームワークコードのIronPort Spam Quarantine(ISQ)機能の脆弱性により、認証されていないリモートの攻撃者が複数の重要なプロセスを応答不能にし、その結果サービス妨害(DoS)状態を引き起こす可能性があります。
この脆弱性は、高頻度で送信されるTCP接続要求の不適切な処理と処理に起因します。攻撃者は、該当システムのISQ対応インターフェイスで開かれているISQサービスポートにTCP要求のシーケンスを送信することで、この脆弱性を不正利用する可能性があります。この脆弱性を不正利用するには、完全なTCP 3ウェイハンドシェイクが必要です。エクスプロイトに成功すると、攻撃者はISQサービスをクラッシュさせたり、応答を停止させたりして、他の重要なプロセスを応答を停止させ、その結果サービス妨害(DoS)状態を引き起こす可能性があります。すべての機能を復元するには、該当システムのハードリブートが必要です。
管理GUIのDoS脆弱性
WebフレームワークコードのGraphical User Interface（GUI；グラフィカルユーザインターフェイス）機能の脆弱性により、認証されていないリモートの攻撃者が複数のプロセスを応答不能にし、その結果サービス妨害(DoS)状態が発生する可能性があります。
この脆弱性は、HTTPおよびHTTPS接続の不適切な処理、処理、および終了に起因します。攻撃者は、該当システムの管理対応インターフェイスに複数のHTTPまたはHTTPS要求を送信することで、この脆弱性を不正利用する可能性があります。この脆弱性を不正利用するには、完全なTCP 3ウェイハンドシェイクが必要です。この不正利用により、攻撃者はGUIを介した管理アクセスを妨げ、他の重要なプロセスが応答しなくなる可能性があり、その結果、サービス妨害(DoS)状態が発生する可能性があります。すべての機能を復元するには、該当システムのハードリブートが必要です。
この脆弱性は、該当システムの管理IPアドレスに向けられたIPv4およびIPv6トラフィックによって引き起こされる可能性があります。この脆弱性は、デフォルトの管理ポート（TCPポート80またはTCPポート443）で不正利用される可能性があります。
Webフレームワークの認証されたコマンドインジェクションの脆弱性
Webフレームワークコードの脆弱性により、認証されたリモートの攻撃者が、基盤となるオペレーティングシステムで任意のコマンドを管理者特権で実行できる可能性があります。
この脆弱性は、ユーザが指定した入力を適切にサニタイズできないことに起因します。サニタイズされた入力は、デバイスの基盤となるコマンドラインインターフェイスを利用するアクションの実行に使用されます。認証されているものの権限のない攻撃者は、巧妙に細工されたURLを該当システムに送信するか、または有効なユーザに悪意のあるURLをクリックさせることで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、十分な知識を持つ攻撃者が該当デバイスを完全に制御できる可能性があります。
この脆弱性は、該当システムの管理IPアドレスに向けられたIPv4およびIPv6トラフィックによって引き起こされる可能性があります。
この脆弱性は、デフォルトの管理ポート（TCPポート80またはTCPポート443）で不正利用される可能性があります。
注：デフォルトの管理ポートは、システム上で再設定できます。
この脆弱性は、Cisco Bug ID CSCzv44633(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)ID CVE-2013-3384が割り当てられています。IronPortスパム検疫のDoS脆弱性
WebフレームワークコードのIronPort Spam Quarantine(ISQ)機能の脆弱性により、認証されていないリモートの攻撃者が複数の重要なプロセスを応答不能にし、その結果サービス妨害(DoS)状態を引き起こす可能性があります。
この脆弱性は、高頻度で送信されるTCP接続要求の不適切な処理と処理に起因します。攻撃者は、該当システムのISQ対応インターフェイスで開かれているISQサービスポートにTCP要求のシーケンスを送信することで、この脆弱性を不正利用する可能性があります。この脆弱性を不正利用するには、完全なTCP 3ウェイハンドシェイクが必要です。エクスプロイトに成功すると、攻撃者はISQサービスをクラッシュさせたり、応答を停止させたりして、他の重要なプロセスを応答を停止させ、その結果サービス妨害(DoS)状態を引き起こす可能性があります。すべての機能を復元するには、該当システムのハードリブートが必要です。
この脆弱性は、該当システムのISQ対応インターフェイス宛てのIPv4およびIPv6トラフィックによって引き起こされる可能性があります。
この脆弱性は、デフォルトのISQポート、TCPポート82、またはTCPポート83で不正利用される可能性があります。
注：デフォルトのISQポートはシステム上で再設定できます。
この脆弱性は、Cisco Bug ID CSCzv25573(登録ユーザ専用)として文書化され、CVE IDとしてCVE-2013-3386が割り当てられています。管理GUIのDoS脆弱性
WebフレームワークコードのGraphical User Interface（GUI；グラフィカルユーザインターフェイス）機能の脆弱性により、認証されていないリモートの攻撃者が複数のプロセスを応答不能にし、その結果サービス妨害(DoS)状態が発生する可能性があります。
この脆弱性は、HTTPおよびHTTPS接続の不適切な処理、処理、および終了に起因します。攻撃者は、該当システムの管理対応インターフェイスに複数のHTTPまたはHTTPS要求を送信することで、この脆弱性を不正利用する可能性があります。この脆弱性を不正利用するには、完全なTCP 3ウェイハンドシェイクが必要です。この不正利用により、攻撃者はGUIを介した管理アクセスを妨げ、他の重要なプロセスが応答しなくなる可能性があり、その結果、サービス妨害(DoS)状態が発生する可能性があります。すべての機能を復元するには、該当システムのハードリブートが必要です。
この脆弱性は、該当システムの管理IPアドレスに向けられたIPv4およびIPv6トラフィックによって引き起こされる可能性があります。この脆弱性は、デフォルトの管理ポート（TCPポート80またはTCPポート443）で不正利用される可能性があります。
注：デフォルトの管理ポートは、システム上で再設定できます。
この脆弱性は、Cisco Bug ID CSCzv63329(登録ユーザ専用)として文書化され、CVE IDとしてCVE-2013-3385が割り当てられています。回避策
Webフレームワークの認証されたコマンドインジェクションの脆弱性と管理GUIのサービス妨害(DoS)の脆弱性は、該当システムのGUIへの管理アクセスを無効にすることで軽減できます。
管理者はinterfaceconfigコマンドを使用して、GUIによるアプライアンス管理を無効にできます。または、GUIを使用して、[Network] > [IP interfaces] > [Edit]の順に選択して管理インターフェイスのプロパティを編集し、[Disable Appliance Management]を選択します。
注： 管理者は、GUIアクセスを無効にしたまま、SSHおよびコマンドラインインターフェイス(CLI)を使用して該当システムを管理できます。ただし、すべてのコマンドと機能がコマンドラインインターフェイスで使用できるわけではありません。
管理者は、管理インターフェイスにアクセスできるIPアドレスを制限することで、攻撃対象を制限することもできます。これを行うには、adminaccessconfigコマンドを使用し、メニューからIPACCESSを選択します。
管理者は、クロスサイトリクエストフォージェリ(CSRF)保護がプラットフォームおよびソフトウェアリリースで利用可能な場合は、これを実装する必要もあります。これにより、Webフレームワークの認証されたコマンドインジェクションの脆弱性の攻撃対象を制限できますが、完全に排除されるわけではありません。
IronPortスパム隔離のサービス拒否の脆弱性は、ISQサービスへのエンドユーザアクセスを無効にすることで軽減できます。管理者は、interfaceconfigコマンドを使用してこのアクセスを無効にできます。あるいは、GUIで[Monitor] > [Quarantines] > [Edit]の順に選択して[Spam Quarantine]の設定を編集し、[Enable End-User Quarantine Access]オプションのチェックを外すこともできます。
注： エンドユーザのアクセスが無効になっている間は、ユーザはセーフリストとブロックリストを管理できません。
回避策の詳細については、このアドバイザリに関連するApplied Mitigation Bulletin(AMB)を参照してください。AMBは次の場所にあります。
https://sec.cloudapps.cisco.com/security/center/viewAMBAlert.x?alertId=29452
管理者はinterfaceconfigコマンドを使用して、GUIによるアプライアンス管理を無効にできます。または、GUIを使用して、[Network] > [IP interfaces] > [Edit]の順に選択して管理インターフェイスのプロパティを編集し、[Disable Appliance Management]を選択します。
注： 管理者は、GUIアクセスを無効にしたまま、SSHおよびコマンドラインインターフェイス(CLI)を使用して該当システムを管理できます。ただし、すべてのコマンドと機能がコマンドラインインターフェイスで使用できるわけではありません。
管理者は、管理インターフェイスにアクセスできるIPアドレスを制限することで、攻撃対象を制限することもできます。これを行うには、adminaccessconfigコマンドを使用し、メニューからIPACCESSを選択します。
管理者は、クロスサイトリクエストフォージェリ(CSRF)保護がプラットフォームおよびソフトウェアリリースで利用可能な場合は、これを実装する必要もあります。これにより、Webフレームワークの認証されたコマンドインジェクションの脆弱性の攻撃対象を制限できますが、完全に排除されるわけではありません。
IronPortスパム隔離のサービス拒否の脆弱性は、ISQサービスへのエンドユーザアクセスを無効にすることで軽減できます。管理者は、interfaceconfigコマンドを使用してこのアクセスを無効にできます。あるいは、GUIで[Monitor] > [Quarantines] > [Edit]の順に選択して[Spam Quarantine]の設定を編集し、[Enable End-User Quarantine Access]オプションのチェックを外すこともできます。
注： エンドユーザのアクセスが無効になっている間は、ユーザはセーフリストとブロックリストを管理できません。
回避策の詳細については、このアドバイザリに関連するApplied Mitigation Bulletin(AMB)を参照してください。AMBは次の場所にあります。
https://sec.cloudapps.cisco.com/security/center/viewAMBAlert.x?alertId=29452
修正済みソフトウェア
ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt のシスコ セキュリティ アドバイザリ、応答、および通知のアーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。
次の表に、Webフレームワークの認証されたコマンドインジェクションの脆弱性に対する修正を含む最初の修正済みリリースを示します。| メジャー リリース |
最初の修正日 |
| 7.1以前 |
7.1.5-104 |
| 7.3 | 7.3.2-026 |
| 7.5 | 7.5.2-203 |
| 7.6 | 7.6.3-019 |
| 8.0 | Not affected |
次の表に、IronPortスパム検疫のサービス妨害(DoS)の脆弱性に対する修正を含む最初の修正済みリリースを示します。
| メジャー リリース |
最初の修正日 |
| 7.1以前 |
7.1.5-106 |
| 7.3 | 使用不可。8.0.0-671以降に移行してください。 |
| 7.5 | 使用不可。7.6.3-019以降に移行してください。 |
| 7.6 | 7.6.3-019 |
| 8.0 | Not affected |
次の表に、管理GUIのDenial of Service(DoS)脆弱性に対する修正を含む最初の修正済みリリースを示します。
| メジャー リリース |
最初の修正 |
| 7.1以前 |
7.1.5-106 |
| 7.3 | 使用不可、8.0.0-671以降に移行 |
| 7.5 | 使用不可、7.6.3-019以降に移行 |
| 7.6 | 7.6.3-019 |
| 8.0 | Not affected |
次の表に、このセキュリティアドバイザリに記載されているすべての脆弱性に対する修正を含む推奨リリースを示します。
| メジャー リリース |
推奨 |
| 7.1以前 |
7.1.5-106 以降 |
| 7.3 | 8.0.0-671 以降 |
| 7.5 | 7.6.3-019 以降 |
| 7.6 | 7.6.3-019 以降 |
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例とその公表は確認しておりません。
これらの脆弱性は、影響を受ける製品の社内セキュリティレビュー中に発見されました。
URL
改訂履歴
| リビジョン 1.0 | 2013年6月26日 | 初版リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。