Cisco FWSMコマンド許可の脆弱性

この脆弱性は、マルチコンテキストモードで設定されたCisco FWSMソフトウェアのデフォルト設定に影響します。Cisco FWSMソフトウェアがマルチコンテキストモードで実行されているかどうかを確認するには、 show modeコマンドを使用します。次の例は、マルチコンテキストモードで実行されているCisco FWSMソフトウェアを示しています。

ciscofwsm# show mode
Security context mode: multiple

注：マルチコンテキストモードはデフォルトでは有効になっていません。ただし、このオプションを有効にして少なくとも1つのユーザコンテキストを設定すると、システムに脆弱性が生じます。3.1(8)および3.2(4)より前のCisco FWSMソフトウェアリリースは、この脆弱性の影響を受けません。


SQL*NetインスペクションエンジンのDoS脆弱性

SQL*Netインスペクションが有効になっている場合、Cisco FWSMソフトウェアはこの脆弱性の影響を受けます。SQL*Netインスペクションが有効になっているかどうかを確認するには、 show service-policy | include sqlnetコマンドを使用します。次の例は、SQL*Netインスペクションが有効になっているCisco FWSMソフトウェアを示しています。

ciscofwsm# show  service-policy | include sqlnet
 Inspect: Inspect: sqlnet, packet 0, drop 0, reset-drop 0

注意： SQL *Netインスペクションはデフォルトで有効になっています。

実行ソフトウェア バージョンの判別

デバイスで実行されているCisco FWSMソフトウェアのバージョンを確認するには、次の例に示すように、管理者は show versionコマンドを発行できます。

FWSM> show version

FWSM Firewall Version 4.0(16)
[...]

Cisco Adaptive Security Device Manager(ASDM)を使用してデバイスを管理しているお客様は、ログインウィンドウの表またはCisco ASDMウィンドウの左上隅に表示されるソフトウェアのバージョンを確認できます。バージョン表記は次の例のようになります。

FWSM Version: 4.0(16)

バージョン情報は、Cisco Catalyst 6500シリーズスイッチまたはCisco 7600シリーズルータからも入手できます。  デバイスで実行されているCisco FWSMソフトウェアのバージョンを確認するには、Cisco IOSソフトウェアまたはCisco Catalystオペレーティングシステムソフトウェアから show moduleコマンドを発行して、システムにインストールされているモジュールとサブモジュールを特定します。

次の例は、Cisco FWSM(WS-SVC-FWM-1)がスロット2にインストールされているシステムを示しています。

switch>show module
Mod Ports Card Type                              Model              Serial No.
--- ----- -------------------------------------- ------------------ -----------
  1   16  SFM-capable 16 port 1000mb GBIC        WS-X6516-GBIC      SAL06334NS9
  2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485
  3    8  Intrusion Detection System             WS-SVC-IDSM-2      SAD0932089Z
  4    4  SLB Application Processor Complex      WS-X6066-SLB-APC   SAD093004BD
  5    2  Supervisor Engine 720 (Active)         WS-SUP720-3B       SAL0934888E

Mod MAC addresses                       Hw    Fw           Sw           Status
--- ---------------------------------- ------ ------------ ------------ -------
  1  0009.11e3.ade8 to 0009.11e3.adf7   5.1   6.3(1)       8.7(0.22)BUB Ok
  2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       4.0(16)      Ok
  3  0014.a90c.9956 to 0014.a90c.995d   5.0   7.2(1)       7.0(4)E4     Ok
  4  0014.a90c.66e6 to 0014.a90c.66ed   1.7   Unknown      Unknown      PwrDown
  5  0013.c42e.7fe0 to 0013.c42e.7fe3   4.4   8.1(3)       12.2(33)SXH8 Ok

[...]

正しいスロットを見つけたら、 show module <slot number>コマンドを発行して、次の例に示すように、実行中のソフトウェアバージョンを特定します。

switch>show module 2
Mod Ports Card Type                              Model              Serial No.
--- ----- -------------------------------------- ------------------ -----------
  2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

Mod MAC addresses                       Hw    Fw           Sw           Status
--- ---------------------------------- ------ ------------ ------------ -------
  2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       4.0(16)      Ok

[...]

上の例は、Cisco FWSMがソフトウェアバージョン4.0(16)を実行していることを示しています（Sw列を参照）。

仮想スイッチングシステム(VSS)を使用して、2台の物理Cisco Catalyst 6500シリーズスイッチを1つの論理仮想スイッチとして動作させることができる場合は、 show module switch allコマンドを使用して、スイッチ1とスイッチ2に属するすべてのFWSMのソフトウェアバージョンを表示できます。このコマンドの出力は、 show module <slot number>の出力に似ていますが、VSS内の各スイッチのモジュールに関するモジュール情報が含まれています。

Cisco ASAソフトウェアを除き、これらの脆弱性の影響を受けるシスコ製品は現在確認されていません。