High

アドバイザリーID : cisco-sa-20140219-fwsm

初公開日 : 2014-02-19 16:00

バージョン 1.0 : Final

CVSSスコア : 7.1

回避策 : No Workarounds available

Cisco バグ ID : CSCuj16824

CVE-2014-0710

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Firewall Services Module(FWSM)ソフトウェアには、認証されていないリモートの攻撃者が該当システムのリロードを引き起こす可能性のある脆弱性が存在します。

この脆弱性は、カットスループロキシ機能によって割り当てられたメモリを解放する際の競合状態に起因します。攻撃者は、カットスループロキシ認証をトリガーする条件に一致するようにトラフィックを送信することで、この脆弱性を不正利用する可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性を軽減する回避策はありません。このアドバイザリは次のリンクで確認できます。 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140219-fwsm

該当製品

Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用のCisco FWSMソフトウェアは、この脆弱性の影響を受けます。影響を受けるリリースの詳細については、このセキュリティアドバイザリの「ソフトウェアバージョンと修正」セクションを参照してください。

Cisco FWSMソフトウェアは、ソフトウェアメンテナンスリリースのマイルストーンが終了しました。Cisco FWSMをご使用のお客様は、シスコの担当者に連絡して交換品を入手することをお勧めします。

脆弱性のある製品

Cisco FWSMは、カットスループロキシ機能が有効な場合、この脆弱性の影響を受けます。この機能は、 matchコマンドまたは includeコマンドを使用して、認証、認可、およびアカウンティングに対してイネーブルにできます。この機能が使用されているかどうかを確認するには、 show running-config aaa authentication| include match|includeコマンドを使用して、出力が返されることを確認します。外部AAAサーバまたはAAA用のCisco FWSMローカルユーザデータベースを使用する設定には脆弱性が存在します。

次の例は、アクセスリスト SERVER_AUTHに一致するトラフィックを、 AuthOutboundという外部AAAサーバを介して認証するように設定されたCisco FWSMを示しています。この例の設定は、 matchコマンドを使用して実装されています。

FWSM/admin# show running-config aaa authentication| include match|include

aaa authentication match SERVER_AUTH inside AuthOutbound

次の例は、includeコマンドを使用して実装された同等の設定を示しています。

FWSM/admin# show running-config aaa authentication| include match|include

aaa authentication include SERVER_AUTH inside AuthOutbound

Cisco FWSMソフトウェアでは、カットスループロキシ機能はデフォルトで有効になっていません。

実行ソフトウェア バージョンの判別

デバイスで実行されているCisco FWSMソフトウェアのバージョンを確認するには、次の例に示すように、管理者は show versionコマンドを発行できます。

FWSM> show version

FWSM Firewall Version 4.0(16)

[...]

Cisco Adaptive Security Device Manager(ASDM)を使用してデバイスを管理しているお客様は、ログインウィンドウの表またはCisco ASDMウィンドウの左上隅に表示されるソフトウェアのバージョンを確認できます。バージョン表記は次の例のようになります。

FWSM Version: 4.0(16)

バージョン情報は、Cisco Catalyst 6500シリーズスイッチまたはCisco 7600シリーズルータからも入手できます。  デバイスで実行されているCisco FWSMソフトウェアのバージョンを確認するには、Cisco IOSソフトウェアまたはCisco Catalystオペレーティングシステムソフトウェアから show moduleコマンドを発行して、システムにインストールされているモジュールとサブモジュールを特定します。

次の例は、Cisco FWSM(WS-SVC-FWM-1)がスロット2にインストールされているシステムを示しています。

switch>show module

Mod Ports Card Type                              Model              Serial No.

--- ----- -------------------------------------- ------------------ -----------

1   16  SFM-capable 16 port 1000mb GBIC        WS-X6516-GBIC      SAL06334NS9

2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

3    8  Intrusion Detection System             WS-SVC-IDSM-2      SAD0932089Z

4    4  SLB Application Processor Complex      WS-X6066-SLB-APC   SAD093004BD

5    2  Supervisor Engine 720 (Active)         WS-SUP720-3B       SAL0934888E

Mod MAC addresses                       Hw    Fw           Sw           Status

--- ---------------------------------- ------ ------------ ------------ -------

1  0009.11e3.ade8 to 0009.11e3.adf7   5.1   6.3(1)       8.7(0.22)BUB Ok

2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       4.0(16)      Ok

3  0014.a90c.9956 to 0014.a90c.995d   5.0   7.2(1)       7.0(4)E4     Ok

4  0014.a90c.66e6 to 0014.a90c.66ed   1.7   Unknown      Unknown      PwrDown

5  0013.c42e.7fe0 to 0013.c42e.7fe3   4.4   8.1(3)       12.2(33)SXH8 Ok

[...]

正しいスロットが見つかったら、 show module < slot number >コマンドを発行して、次の例に示すように、実行中のソフトウェアバージョンを特定します。

switch>show module 2

Mod Ports Card Type                              Model              Serial No.

--- ----- -------------------------------------- ------------------ -----------

2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

Mod MAC addresses                       Hw    Fw           Sw           Status

--- ---------------------------------- ------ ------------ ------------ -------

2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       4.0(16)      Ok

[...]

上の例は、Cisco FWSMがソフトウェアバージョン4.0(16)を実行していることを示しています（Sw列を参照）。

仮想スイッチングシステム(VSS)を使用して、2台の物理Cisco Catalyst 6500シリーズスイッチを1つの論理仮想スイッチとして動作させることができる場合は、 show module switch allコマンドを使用して、スイッチ1とスイッチ2に属するすべてのFWSMのソフトウェアバージョンを表示できます。このコマンドの出力は、 show module <slot number>の出力に似ていますが、VSS内の各スイッチのモジュールに関するモジュール情報が含まれています。

脆弱性を含んでいないことが確認された製品

Cisco ASAソフトウェアは、この脆弱性の影響を受けません。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco FWSMは、Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用の高速な統合ファイアウォールモジュールです。FWSMは、ステートフルパケットフィルタリングとディープパケットインスペクションを備えたファイアウォールサービスを提供します。

Cisco FWSMソフトウェアは、AAAネットワークアクセスサービスのカットスループロキシ機能をサポートしています。

Cisco Firewall Services Module(FWSM)ソフトウェアのカットスループロキシ機能の脆弱性により、認証されていないリモートの攻撃者が該当システムのリロードを引き起こす可能性があります。

この脆弱性は、カットスループロキシ機能によって割り当てられたメモリを解放する際の競合状態に起因します。攻撃者は、カットスループロキシ認証をトリガーする条件に一致するようにトラフィックを送信することで、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者は該当システムのリロードを引き起こす可能性があります。 不正利用が繰り返されると、サービス拒否(DoS)状態が発生する可能性があります。

注：この脆弱性は、シングルおよびマルチコンテキストモードの両方で、ルーテッドファイアウォールモードとトランスペアレントファイアウォールモードの両方に影響します。この脆弱性は、IPバージョン4(IPv4)トラフィックによってのみ引き起こされます。通過トラフィックとFWSMデバイス宛てのトラフィックを使用して、この脆弱性を引き起こす可能性があります。外部AAAサーバまたはAAA用のCisco FWSMローカルユーザデータベースを使用する設定には脆弱性が存在します。

この脆弱性は、Cisco Bug ID CSCuj16824( 登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2014-0710が割り当てられています。

回避策

カットスループロキシ機能を無効にする以外に、この脆弱性を軽減する回避策はありません。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt のシスコ セキュリティ アドバイザリ、応答、および通知のアーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

次の表に、メジャーリリースバージョンごとにこの脆弱性を修正するリリースに関する情報を示します。

3.1

3.2

4.0

4.1

CSCuj16824:Cisco FWSMカットスループロキシサービス拒否の脆弱性^1

3.2.x以降への移行

3.2(28)

4.1以降への移行

4.1(15)

1 この脆弱性は、3.1(21)、3.2(21)、4.0(16)、および4.1(6)より前のCisco FWSMソフトウェアリリースには影響しません。

注： Cisco FWSMソフトウェアは、ソフトウェアメンテナンスリリースのマイルストーンが終了しました。Cisco FWSMをご使用のお客様は、シスコの担当者に連絡して代替製品を入手することをお勧めします。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

この脆弱性は、サポートケースの解決中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140219-fwsm

改訂履歴

リビジョン 1.0

2014年2月19日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。