Multiple Vulnerabilities in OpenSSL (January 2015) Affecting Cisco Products

目次

要約
該当製品
詳細
脆弱性スコア詳細
影響
ソフトウェア バージョンおよび修正
回避策
修正済みソフトウェアの入手
不正利用事例と公式発表
この通知のステータス：Final
情報配信
更新履歴
シスコ セキュリティ手順

---

この不具合については、Cisco Bug Search Tool を使用して確認することが可能で、回避策（可能な場合）や修正されたソフトウェア バージョンなど、プラットフォーム固有の追加情報が提供されます。

脆弱性が認められる製品

脆弱性が認められない製品

2015 年 1 月 8 日、OpenSSL プロジェクトが 8 つの脆弱性を公開しました。1つまたは複数の脆弱性が OpenSSL を実装したクライアントまたはサーバに影響を与える可能性があります。脆弱性の名称および関連する Common Vulnerabilities and Exposures（CVE）ID は、以下のとおりです。

これらの脆弱性がシスコ製品に与える影響は、製品によって異なる可能性があります。

シスコ製品については、本ドキュメントの「該当製品」リストの Cisco Bug ID 情報を参照してください。追加情報や詳しい手順は、シスコの各製品のインストール ガイド、コンフィギュレーション ガイド、メンテナンス ガイドに記載されています。さらに説明やアドバイスが必要な場合、サポート担当者にお問い合わせください。

OpenSSL の DTLS メッセージ処理の DoS 脆弱性

OpenSSL の脆弱性により、認証されていないリモートの攻撃者によって Denial of Service（DoS）状態が発生させられる可能性があります。

この脆弱性は、ネットワーク メッセージの不適切な処理に起因します。攻撃者は、ターゲット システムに不正なネットワーク メッセージを送信することにより、この脆弱性を不正利用する可能性があります。

この脆弱性には CVE ID として CVE-2014-3571 が割り当てられています。

OpenSSL の dtls1_buffer_record 関数における DTLS メッセージ処理の DoS 脆弱性

OpenSSL には、認証されていないリモートの攻撃者が Denial of Service（DoS）状態を引き起こす可能性のある脆弱性が存在します。

この脆弱性は、巧妙に細工された Datagram Transport Layer Security（DTLS）パケットが該当ソフトウェアで処理される際に生じるエラー状態に起因します。認証されていないリモートの攻撃者は、該当する OpenSSL ベース サーバに巧妙に細工された DTLS パケットを送信することにより、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者はメモリ リソースを過剰に消費させ、結果的に DoS 状態を引き起こす可能性があります。

この脆弱性には CVE ID として CVE-2015-0206 が割り当てられています。

OpenSSL の no-ssl3 オプションにおける NULL ポインタ デリファレンスの脆弱性

OpenSSL の脆弱性により、認証されていないリモートの攻撃者によって該当システムに Denial of Service（DoS）状態が発生させられる可能性があります。

この脆弱性は、OpenSSL ビルド設定の不適切な実装に起因します。認証されていないリモートの攻撃者は、巧妙に細工された SSL 3.0 ハンドシェイク要求をターゲット クライアントに送信することにより、この脆弱性を不正利用する可能性があります。この要求が処理されると、該当ソフトウェアが異常終了し、DoS 状態になる可能性があります。

この脆弱性には CVE ID として CVE-2014-3569 が割り当てられています。

OpenSSL の Elliptic Curve Cryptography ダウングレードの脆弱性

OpenSSL の脆弱性により、認証されていないリモートの攻撃者によってダウングレード攻撃が実行される可能性があります。

この脆弱性は、該当ソフトウェアによる一時的な Elliptic Curve Diffie-Hellman（ECDH）Ciphersuite の実装が安全でないことに起因します。認証されていないリモートの攻撃者は、巧妙に細工されたハンドシェーク要求をターゲット クライアント システムに送信することにより、この脆弱性を不正利用する可能性があります。攻撃者は、この要求の処理時にサーバをダウングレードして強度の低い暗号プロトコルを使用させることで、そのシステムから機密情報を取得する可能性があります。

この脆弱性には CVE ID として CVE-2014-3572 が割り当てられています。

OpenSSL の RSA Temporary Key Cryptography のダウングレードの脆弱性

OpenSSL の脆弱性により、認証されていないリモートの攻撃者がセキュリティ制限を回避できる可能性があります。

この脆弱性は、RSA Temporary Key の不適切な処理に起因します。ネットワーク経路上の特定の位置にいる攻撃者が、脆弱性のある OpenSSL ライブラリを使用するアプリケーションを使用するシステムに、強度の低い RSA Temporary Key を返すことにより、この脆弱性を不正利用する可能性があります。セキュリティ レベルの低い一時キーが処理されると、暗号強度が低下し、攻撃者がセキュリティ保護機能を回避できる可能性があります。

この脆弱性には CVE ID として CVE-2015-0204 が割り当てられています。

OpenSSL の Diffie-Hellman 証明書検証での認証バイバスの脆弱性

OpenSSL の脆弱性により、認証されていないリモートの攻撃者が特定のセキュリティ制限を回避し、該当システム上の機密情報にアクセスできる可能性があります。

この脆弱性は、該当ソフトウェアによる不適切な証明書検証に起因します。認証されていないリモートの攻撃者は、巧妙に細工された Diffie-Hellman 証明書を certificate verify メッセージを付けずに該当サーバに送信することで、この脆弱性を不正利用する可能性があります。このような証明書が処理されると、攻撃者は特定のセキュリティ制限を回避し、そのシステム上の機密情報にアクセスできる可能性があります。

この脆弱性には CVE ID として CVE-2015-0205 が割り当てられています。

OpenSSLの 証明書フィンガープリント検証の脆弱性

OpenSSL の脆弱性により、認証されていないリモートの攻撃者が、該当ソフトウェアで実装されているフィンガープリントベースの証明書検証メカニズムを回避できる可能性があります。

この脆弱性は、該当ソフトウェアで証明書データに適用される制限が不十分であることに起因します。攻撃者は、巧妙に細工されたデータを証明書の無署名部分に入れて送信し、これが該当ソフトウェアで処理されるようにすることで、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者は該当ソフトウェアによって実装されているフィンガープリントベースの証明書ブラックリスト保護メカニズムを回避できる可能性があります。

この脆弱性には CVE ID として CVE-2014-8275 が割り当てられています。

OpenSSL の BN_sql 関数の不適切な数値計算結果に関する問題

OpenSSL の問題により、不正確な数値計算結果が生じる可能性があります。

この問題は、 BN_sql 関数で BIGNUM 値の 2 乗が正しく計算されないことが原因です。認証されていないリモートの攻撃者が未知のベクターを使用して、この問題を不正利用する可能性があります。この不正利用に成功した場合、ソフトウェアによる計算結果が不正確になる可能性があります。

報告には、攻撃者はこのバグによるトリガーのタイミングを制御できず、秘密キー マテリアルが関与しないため、既知の不正利用はなく、単純なバグ攻撃は失敗すると記載されています。

この脆弱性には CVE ID として CVE-2014-3570 が割り当てられています。

シスコはこのアドバイザリでの脆弱性に対して Common Vulnerability Scoring System（CVSS）に基づいたスコアを提供しています。本セキュ・潟eィ アドバイザリでの CVSS スコアは、CVSS バージョン 2.0 に基づいています。

CVSS は、脆弱性の重要度を示唆するもので、緊急性および対応の優先度を決定する組織の手助けとなる標準ベースの評価法です。

シスコでは、基本評価スコア（Base Score）および現状評価スコア（Temporal Score）を提供しています。お客様はこれらを用いて環境評価スコア（Environmental Score）を算出し、自身のネットワークにおける脆弱性の影響度を知ることができます。

シスコは次のリンクで CVSS に関する追加情報を提供しています。
http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html

またシスコでは、各ネットワークにおける環境影響度を算出する CVSS 計算ツールを次のリンクで提供しています。
http://intellishield.cisco.com/security/alertmanager/cvss

CVE-2014-3571: OpenSSL DTLS Message Processing Denial of Service Vulnerability Calculate the environmental score of
CVSS Base Score - 5.0
Access Vector	Access Complexity	Authentication	Confidentiality Impact	Integrity Impact	Availability Impact
Network	Low	None	None	None	Partial
CVSS Temporal Score - 3.7
Exploitability		Remediation Level		Report Confidence
Unproven		Official-Fix		Confirmed

CVE-2015-0206: OpenSSL dtls1_buffer_record Function DTLS Message Processing Denial of Service Vulnerability Calculate the environmental score of
CVSS Base Score - 5.0
Access Vector	Access Complexity	Authentication	Confidentiality Impact	Integrity Impact	Availability Impact
Network	Low	None	None	None	Partial
CVSS Temporal Score - 3.7
Exploitability		Remediation Level		Report Confidence
Unproven		Official-Fix		Confirmed

CVE-2014-3569: OpenSSL no-ssl3 Option NULL Pointer Dereference Vulnerability Calculate the environmental score of
CVSS Base Score - 5.0
Access Vector	Access Complexity	Authentication	Confidentiality Impact	Integrity Impact	Availability Impact
Network	Low	None	None	None	Partial
CVSS Temporal Score - 3.7
Exploitability		Remediation Level		Report Confidence
Unproven		Official-Fix		Confirmed

CVE-2014-3572: OpenSSL Elliptic Curve Cryptographic Downgrade Vulnerability Calculate the environmental score of
CVSS Base Score - 4.3
Access Vector	Access Complexity	Authentication	Confidentiality Impact	Integrity Impact	Availability Impact
Network	Medium	None	Partial	None	None
CVSS Temporal Score - 3.2
Exploitability		Remediation Level		Report Confidence
Unproven		Official-Fix		Confirmed

CVE-2015-0205: OpenSSL Diffie-Hellman Certificate Validation Authentication Bypass Vulnerability Calculate the environmental score of
CVSS Base Score - 5.0
Access Vector	Access Complexity	Authentication	Confidentiality Impact	Integrity Impact	Availability Impact
Network	Low	None	None	Partial	None
CVSS Temporal Score - 3.7
Exploitability		Remediation Level		Report Confidence
Unproven		Official-Fix		Confirmed

CVE-2015-0204: OpenSSL RSA Temporary Key Cryptographic Downgrade Vulnerability Calculate the environmental score of
CVSS Base Score - 4.3
Access Vector	Access Complexity	Authentication	Confidentiality Impact	Integrity Impact	Availability Impact
Network	Medium	None	Partial	None	None
CVSS Temporal Score - 3.6
Exploitability		Remediation Level		Report Confidence
Functional		Official-Fix		Confirmed

CVE-2014-8275: OpenSSL Certificate Fingerprint Validation Vulnerability Calculate the environmental score of
CVSS Base Score - 5.0
Access Vector	Access Complexity	Authentication	Confidentiality Impact	Integrity Impact	Availability Impact
Network	Low	None	None	Partial	None
CVSS Temporal Score - 3.7
Exploitability		Remediation Level		Report Confidence
Unproven		Official-Fix		Confirmed

CVE-2014-3570: OpenSSL BN_sql Function Incorrect Mathematical Results Issue Calculate the environmental score of
CVSS Base Score - 2.6
Access Vector	Access Complexity	Authentication	Confidentiality Impact	Integrity Impact	Availability Impact
Network	High	None	Partial	None	None
CVSS Temporal Score - 1.9
Exploitability		Remediation Level		Report Confidence
Unproven		Official-Fix		Confirmed

これらの脆弱性の不正利用によって、攻撃者は Man-in-theーMiddle（MitM）攻撃を実行したり、DoS 状態を発生させる可能性があります。

特定のシスコ製品への影響を確認するには、 Cisco Bug Search Tool を使用して Cisco Bug ID を参照してください。

ソフトウェアのアップグレードを検討する場合は、 http://www.cisco.com/go/psirt/ の Cisco Security Advisories, Responses, and Notices アーカイブや、後続のアドバイザリを参照して、起こりうる障害を判断し、それに対応できるアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

特定のシスコ製品の回避策を確認するには、 Cisco Bug Search Tool を使用して Cisco Bug ID を参照してください。

シスコはこのアドバイザリに記載された脆弱性に対処する無償のソフトウェア アップデートを提供しています。ソフトウェアの導入を行う前に、お客様のメンテナンス プロバイダーにご相談いただくか、ソフトウェアのフィーチャ セットの互換性およびお客様のネットワーク環境の特有の問題をご確認ください。
お客様がインストールしたりサポートを受けたりできるのは、ご購入いただいたフィーチャ セットに対してのみとなります。そのようなソフトウェア アップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html に記載のシスコのソフトウェア ライセンスの条項に従うことに同意したことになります。

サービス契約をご利用のお客様

サードパーティのサポート会社をご利用のお客様

サービス契約をご利用でないお客様

2015 年 3 月上旬、CVE-2015-0204：OpenSSL の RSA Temporary Key Cryptography のダウングレードの脆弱性は、RSA-EXPORT キーに対する因数分解攻撃（通称 FREAK）に関して実施された調査により、メディアの注目を集めました。

これらの脆弱性は 2015 年 1 月 5 日に OpenSSL プロジェクトによって公開されたものです。Cisco PSIRT は、FREAK に関する議論の拡大を受けて、シスコのセキュリティ脆弱性公開ポリシーに従い公開リリース ノートを通じてシスコ製品への影響の公開を開始しました。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証を示唆するものでもありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。またシスコはいつでも本ドキュメントの変更や更新を実施する権利を有します。新しい情報が入り次第、このドキュメントは更新される予定です。

後述する情報配信の URL を省略し、本アドバイザリの記述内容に関して単独の転載や意訳を実施した場合には、事実誤認ないし重要な情報の欠落を含む統制不可能な情報の伝搬が行われる可能性があります。

このアドバイザリは次のリンクにある Cisco Security に掲載されます。
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150310-ssl

また、このアドバイザリのテキスト版が Cisco PSIRT PGP キーによるクリア署名つきで次の電子メールで配信されています。

• cust-security-announce@cisco.com
• first-bulletins@lists.first.org
• bugtraq@securityfocus.com
• vulnwatch@vulnwatch.org
• cisco@spot.colorado.edu
• cisco-nsp@puck.nether.net
• fulldisclosure@seclists.org

本アドバイザリに関する今後の更新は Cisco.com に掲載されますが、メーリング リストで配信されるとは限りません。更新内容については、本アドバイザリの URL でご確認ください。

今後のドキュメントや関連コンテンツの入手手順については、 Security Vulnerability Policy ページの Receiving Security Vulnerability Information from Cisco を参照してください。

Revision 1.17	2015-November-13	Updated first fixed releases for the APIC from 1.1(0.625), 1.0(2.136a) to 1.1(1j) and 1.0(3f)
Revision 1.16	2015-September-22	Added Cisco IP Phone 8800 Series to affected products section.
Revision 1.15	2015-June-02	Updated fixed releases availability.
Revision 1.14	2015-May-28	Moved the Cisco Mobility Services Engine (MSE) to an affected product. Updated Fixed releases availability.
Revision 1.13	2015-May-14	Updated Vulnerable Products Fixed releases availability column.
Revision 1.12	2015-May-06	Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections.
Revision 1.11	2015-April-30	Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections.
Revision 1.10	2015-April-27	Updated the Vulnerable Products fixed column. Added Cisco IOS Access Points to under investigation.
Revision 1.9	2015-April-17	Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections.
Revision 1.8	2015-April-13	Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections.
Revision 1.7	2015-April-09	Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections. Removed End of Life product - Cisco Small Business ISA500 Series Integrated Security Appliances.
Revision 1.6	2015-April-02	Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections.
Revision 1.5	2015-March-26	Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections. Several End of Life products were removed from the advisory.
Revision 1.4	2015-March-19	Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections. Added Cisco TelePresence IP Gateway Series to the advisory.
Revision 1.3	2015-March-16	Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections.
Revision 1.2	2015-March-13	Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections.
Revision 1.1	2015-March-11	Moved Cisco Content Security Management Appliance (SMA) from Not Vulnerable, to under Investigation. Updated the Affected Products, Vulnerable Products, and Products Confirmed Not Vulnerable sections.
Revision 1.0	2015-March-10	Initial public release.

シスコ製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関するサポート、およびシスコからセキュリティ情報を入手するための登録方法の詳細については、Cisco.com の http://www.cisco.com/web/about/security/psirt/security_vulnerability_policy.html を参照してください。この Web ページには、Cisco Security Advisory に関してメディアが問い合わせる際の指示が掲載されています。すべての Cisco Security Advisory は、 http://www.cisco.com/go/psirt/ で確認することができます。