High

アドバイザリーID : cisco-sa-20130626-ngfw

初公開日 : 2013-06-26 16:00

バージョン 1.0 : Final

CVSSスコア : 7.8

回避策 : No Workarounds available

Cisco バグ ID : CSCue88387

CVE-2013-3382

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco ASA Next-Generation Firewall(NGFW)Servicesには、断片化されたトラフィックによるサービス拒否(DoS)の脆弱性が存在します。

Cisco ASA NGFWでこの脆弱性が不正利用されると、デバイスがリロードされたり、詳細なインスペクションのために親Cisco ASAからASA NGFWモジュールにリダイレクトされたユーザトラフィックの処理が停止されたりする可能性があります。

この脆弱性に対する回避策はありませんが、対応策はあります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-ngfw

該当製品

脆弱性のある製品

次のバージョンのCisco ASA NGFWは、このアドバイザリに記載されている脆弱性の影響を受けます。

9.1.1.9より前の9.1.1バージョンのCisco ASA NGFW

9.1.2.12より前の9.1.2バージョンのCisco NGFW

Cisco NGFWのすべての9.0バージョン

注：Cisco ASA NGFWハードウェアとCisco ASA用ソフトウェアモジュールの両方がこの脆弱性の影響を受けます。

Cisco ASA Next-Generation Firewall Servicesソフトウェアバージョンの確認

Cisco ASA NGFWは、9.1.2より前のバージョンではCisco ASA CX Context-Aware Securityと呼ばれています。

Cisco ASA NGFWソフトウェアの実行バージョンを確認するには、Cisco ASA NGFWコマンドラインインターフェイスから show versionコマンドを発行します。管理者は、シリアルコンソール、ASA NGFW管理インターフェイスへのSSHセッション、または sessionコマンドを使用して親ASAから開いたセッションを介してアクセスできます。

次の例は、Cisco ASA NGFWソフトウェアバージョン9.0.1(40)を示しています。

asangfw> show version

Cisco ASA CX Platform  9.0.1 (40)

Cisco ASA NGFWデバイスを管理するためにCisco Prime Security Manager(PRSM)を使用しているお客様は、Cisco Prime Security Managerウィンドウの[Device] > [Devices]でCisco ASA NGFWのソフトウェアバージョンを確認できます。

脆弱性を含んでいないことが確認された製品

Cisco ASA 5500シリーズ適応型セキュリティアプライアンス、Cisco Catalyst 6500または7600シリーズASAサービスモジュール(ASA-SM)、およびCisco Catalyst 6500シリーズFirewall Services Module(FWSM)は、この脆弱性の影響を受けません。

Cisco PRSMは、この脆弱性の影響を受けません。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco ASA NGFWは、Cisco ASAプラットフォームを拡張するアドオンサービスモジュールです。アプリケーションとユーザID認識機能を提供し、ネットワークトラフィックの可視性と制御を強化します。

Cisco ASA NGFWのフラグメント化されたトラフィック処理の脆弱性により、認証されていないリモートの攻撃者が該当デバイスのリロードを引き起こす可能性があります。

この脆弱性は、再構成されたパケットデータの無効な解析に起因します。攻撃者は、ASA NGFW拒否ポリシーの1つで処理されるフラグメント化されたトラフィックを送信することで、この脆弱性を不正利用する可能性があります。

特定の条件下で、攻撃者はCisco ASA NGFWを介してフラグメント化されたIPv4またはIPv6パケットを送信することにより、この脆弱性を不正利用する可能性があります。この脆弱性を不正利用するには、該当するCisco ASA NGFWにユーザトラフィックを拒否するポリシーが設定されている必要があります。拒否ポリシーに対してフラグメント化されたパケットを処理すると、Cisco ASA NGFWがリロードする可能性があります。

また、該当バージョンのソフトウェアを実行するCisco ASA NGFWモジュールを搭載したCisco ASAがハイアベイラビリティモード(HA)に設定されている場合、Cisco ASA NGFWがトラフィックをリロードまたは転送を停止すると、フェールオーバーイベントがトリガーされる可能性があります。

親Cisco ASAのモジュラポリシーフレームワーク(MPF)設定によってCisco ASA NGFWに向けられたユーザトラフィックのみが、このアドバイザリに記載された脆弱性の影響を受けます。

Cisco ASA NGFWとの間でやり取りされる管理トラフィックは、この脆弱性の影響を受けません。

この脆弱性は、Cisco ASA Next-Generation Firewall Servicesに関するCisco Bug ID CSCue88387( 登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2013-3382が割り当てられています。

回避策

この脆弱性がCisco ASA NGFWで不正利用され、トラフィックが中断された場合は、緩和策として、ユーザトラフィックをCisco ASA NGFWに向けるために使用されるCisco ASA上のModular Policy Framework(MPF)設定を削除できます。これにより、すべてのユーザトラフィックがCisco ASA NGFWモジュールのインスペクションをバイパスし、ASA NGFWが提供するインスペクションなしでCisco ASAを通過できるようになります。

次の例は、Cisco ASAファイアウォールからCisco ASA NGFWモジュールへのWebトラフィックのリダイレクトを無効にする方法を示しています。

ASA(config)# policy-map cx_traffic_policy

ASA(config-pmap)# class cx_traffic

ASA(config-pmap-c)# no cxcs

注：Cisco ASAは、MPF設定で fail-openを使用して設定できます。 fail-openキーワードは、Cisco ASA NGFWモジュールが使用できない場合に、すべてのトラフィックが検査なしで通過できるようにCisco ASAを設定します。

あるいは、フラグメント化されたトラフィックをCisco ASAファイアウォールで許可しないこともできます。これにより、Cisco ASAファイアウォールはインターフェイス上のフラグメントを受け入れなくなります。その結果、Cisco ASAは検査のためにフラグメントをCisco ASA NGFWソフトウェアモジュールに送信しません。

次の例は、Cisco ASAファイアウォールでフラグメント化されたトラフィックの処理を無効にする方法を示しています。

ASA(config)# fragment chain 1

注：上記の例では、すべてのCisco ASAインターフェイスでフラグメントが無効になります。Cisco ASAに向かう、またはCisco ASAを経由するフラグメント化されたトラフィックは廃棄されます。その結果、Cisco ASAはフラグメント化されたトラフィックをCisco ASA NGFWまたは設定されたモジュールに転送しません。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt のシスコ セキュリティ アドバイザリ、応答、および通知のアーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

この脆弱性は、Cisco ASA NGFWバージョン9.1.1.9または9.1.2.12以降で修正されています。

Cisco ASA NGFWソフトウェアは、次のリンクからダウンロードできます。

http://software.cisco.com/download/release.html?mdfid=284325223&softwareid=284399944&release=9.1.1-17&relind=AVAILABLE&rellifecycle=&reltype=latest

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

この脆弱性は、サポートケースの解決中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130626-ngfw

改訂履歴

リビジョン 1.0

2013年6月26日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。