High

アドバイザリーID : cisco-sa-20150408-asa

初公開日 : 2015-04-08 16:00

バージョン 1.0 : Final

CVSSスコア : 8.3

回避策 : No Workarounds available

Cisco バグ ID : CSCuq77655 CSCur21069 CSCus95290

CVE-2015-0677

CVE-2015-0675

CVE-2015-0676

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco適応型セキュリティアプライアンス(ASA)ソフトウェアは、次の脆弱性の影響を受けます。

- Cisco ASAフェールオーバーコマンドインジェクションの脆弱性

- Cisco ASA DNSメモリ枯渇の脆弱性

- Cisco ASA VPN XMLパーサーのDoS脆弱性

Cisco ASAフェールオーバーコマンドインジェクションの脆弱性の不正利用に成功すると、攻撃者はフェールオーバーユニットにフェールオーバーコマンドを送信でき、その結果、システムを完全に制御できるようになる可能性があります。

Cisco ASAのDNSメモリ枯渇の脆弱性が悪用されると、システムが不安定になり、トラフィックがドロップされる可能性があります。

Cisco ASA VPN XMLパーサーのDoS脆弱性が悪用されると、WebVPNプロセスがクラッシュし、すべてのSSL VPN接続のリセット、システムの不安定性、および該当システムのリロードが発生する可能性があります。

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。Cisco ASAフェールオーバーコマンドインジェクションの脆弱性とCisco ASA DNSメモリ枯渇の脆弱性に対しては、これらの脆弱性を軽減する回避策が利用可能です。このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150408-asa

注：4月8日にリリースされた Cisco Security Advisory Cisco ASA FirePOWER ServicesおよびCisco ASA CX Crafted Packets Denial of Service Vulnerability( cisco-sa-20150408-cxfp)の脆弱性を解決するには、Cisco ASAソフトウェアリリースのアップグレードが必要になる場合があります。Cisco ASAのお客様は、cisco-sa-20150408-cxfpを確認してから、どのCisco ASAソフトウェアリリースにアップグレードするかを決定する必要があります。

Cisco Security Advisory Cisco ASA FirePOWER Services and Cisco ASA CX Crafted Packets Denial of Service Vulnerabilityは、次のリンクから入手できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150408-cxfp

該当製品

次の製品で実行されているCisco ASAソフトウェアは、複数の脆弱性の影響を受けます。

- Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンス

- Cisco ASA 5500-X シリーズ次世代ファイアウォール

- Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用Cisco ASAサービスモジュール

- Cisco ASA 1000V クラウド ファイアウォール

- Cisco 適応型セキュリティ仮想アプライアンス（ASAv）

影響を受けるCisco ASAソフトウェアのリリースは、特定の脆弱性によって異なります。影響を受けるリリースの詳細については、このセキュリティアドバイザリの「ソフトウェアバージョンと修正」セクションを参照してください。

脆弱性のある製品

Cisco ASAフェールオーバーコマンドインジェクションの脆弱性

Cisco ASAソフトウェアは、システムがハイアベイラビリティモード（フェールオーバーモードとも呼ばれる）に設定されていて、フェールオーバー通信を保護するように failover ipsec機能が設定されている場合、この脆弱性の影響を受けます。

Cisco ASAソフトウェアがフェールオーバー用に設定されているかどうかを確認するには、 show failoverコマンドを使用して、フェールオーバーが ONに設定されていることを確認します。次の例は、フェールオーバーモードが有効になっているCisco ASAを示しています。

ciscoasa# show failover

Failover On

[...]

failover ipsec機能が有効になっているかどうかを確認するには、 show running-config failover | include ipsecコマンドを使用して、出力が返されることを確認します。

次の例は、 failover ipsec機能が有効になっているCisco ASAを示しています。

ciscoasa# show running-config failover | include ipsec

failover ipsec pre-shared-key *****

注：failover keyコマンドを使用したCisco ASAの設定は、この脆弱性の影響を受けません。 failover ipsec機能は、デフォルトでは有効になっていません。

Cisco ASA DNSメモリ枯渇の脆弱性

Cisco ASAソフトウェアは、DNSサーバグループに少なくとも1つのDNSサーバIPアドレスが設定されている場合、この脆弱性の影響を受けます。これは、デフォルトのDNSサーバグループ( DefaultDNS)の設定の一部として設定することも、ユーザ定義のDNSサーバグループの下で設定することもできます。

DNSサーバのIPアドレスが設定されているかどうかを確認するには、 show running-config dns server-groupコマンドを使用して、 name-serverパラメータにIPアドレスが含まれていることを確認します。

次の例は、DNSサーバIP 192.168.1.1が DefaultDNSサーバグループの一部として設定されているCisco ASAを示しています。

ciscoasa# show running-config dns server-group

DNS server-group DefaultDNS

name-server 192.168.1.1

注：どのDNSサーバグループでも、デフォルトではDNS name-serverの値は設定されていません。

Cisco ASA VPN XMLパーサーのDoS脆弱性

Cisco ASAソフトウェアは、システムがAnyConnect SSL VPN、クライアントレスSSL VPN、またはAnyConnect IKEv2 VPN用に設定されている場合、この脆弱性の影響を受けます。他のタイプのVPN用に設定されたCisco ASAソフトウェアは、この脆弱性の影響を受けません。

システムでAnyConnectまたはクライアントレスSSL VPNが設定されているかどうかを確認するには、 show running-config webvpnコマンドを使用して、少なくとも1つのインターフェイスで webvpnが有効になっていることを確認します。次の例は、 outsideインターフェイスでSSL VPNが有効になっているCisco ASAを示しています。

ciscoasa# show running-config webvpn

webvpn

enable outside

[...]

システムでAnyConnect IKEv2 VPNが設定されているかどうかを確認するには、 show running-config crypto ikev2 | include enableコマンドを使用して、 client-servicesパラメータが存在することを確認します。次の例は、インターフェイス outsideでAnyConnect IKEv2 VPNが有効になっているCisco ASAを示しています。

ciscoasa# show running-config crypto ikev2 | include enable

crypto ikev2 enable outside client-services port 443

注：SSL VPNおよびAnyConnect IKEv2 VPN機能は、デフォルトでは有効になっていません。

実行中のソフトウェアバージョンの確認

脆弱性のあるバージョンの Cisco ASA ソフトウェアがアプライアンスで実行されているかどうかを知るには、 show version コマンドを発行します。次の例は、Cisco ASAソフトウェアバージョン9.2(1)を実行しているアプライアンスを示しています。

ciscoasa#show version | include Version

Cisco Adaptive Security Appliance Software Version 9.2(1)

Device Manager Version 7.4(1)

Cisco Adaptive Security Device Manager(ASDM)を使用してデバイスを管理しているお客様は、ログインウィンドウまたはCisco ASDMウィンドウの左上隅に表示される表でソフトウェアバージョンを確認できます。

脆弱性を含んでいないことが確認された製品

Cisco ASA FirePOWER ServicesおよびCisco ASA Context-Aware(CX)Servicesは、この脆弱性の影響を受けません。

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

Cisco適応型セキュリティアプライアンス(ASA)ソフトウェアは、Cisco ASA 5500シリーズ適応型セキュリティアプライアンス、Cisco ASA 5500-X次世代ファイアウォール、Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用Cisco ASAサービスモジュール(ASASM)、Cisco ASA 1000Vクラウドファイアウォール、およびCisco適応型セキュリティ仮想アプライアンス(ASA)で使用されるオペレーティングシステムですv)Cisco ASAファミリは、ファイアウォール、侵入防御システム(IPS)、アンチウイルス、VPNなどのネットワークセキュリティサービスを提供します。

Cisco ASAフェールオーバーコマンドインジェクションの脆弱性

Cisco ASAソフトウェアの failover ipsec機能の脆弱性により、認証されていない隣接する攻撃者が、フェールオーバーインターフェイスを介して任意のフェールオーバーユニットに設定コマンドを送信できる可能性があります。その結果、攻撃者はアクティブフェールオーバーユニットとスタンバイフェールオーバーユニットの両方を完全に制御できる可能性があります。

この脆弱性は、 failover ipsec機能が設定されている場合に、セキュアなフェールオーバー通信メッセージが不適切に処理されることに起因します。攻撃者は、巧妙に細工されたUDPパケットをフェールオーバーインターフェイスのIPアドレスに送信することで、この脆弱性を不正利用する可能性があります。攻撃者がこの脆弱性を不正利用するには、フェールオーバーインターフェイスのIPアドレスへのIP接続が必要です。

注：この脆弱性の不正利用に使用できるのは、該当システムのフェールオーバーインターフェイスIPアドレス宛てのUDPパケットだけです。この脆弱性は、シングルコンテキストモードまたはマルチコンテキストモードで、ルーテッドファイアウォールモードまたはトランスペアレントファイアウォールモードに設定されたシステムに影響します。この脆弱性は、IPバージョン4(IPv4)およびIPバージョン6(IPv6)のトラフィックによって引き起こされる可能性があります。

この脆弱性は、Cisco Bug ID CSCur21069( 登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2015-0675が割り当てられています

Cisco ASA DNSメモリ枯渇の脆弱性

Cisco ASAソフトウェアのDNSコードの脆弱性により、認証されていないリモートの攻撃者が使用可能なメモリを枯渇させ、システムが不安定になり、トラフィックを処理または転送できなくなる可能性があります。

この脆弱性は、DNSパケットの不適切な処理に起因します。攻撃者は、該当するCisco ASAアプライアンスに要求を送信することで、この脆弱性を不正利用し、DNS要求パケットを生成させる可能性があります。攻撃者は、この要求を代行受信し、巧妙に細工されたDNS応答パケットで応答できる必要があります。

注：この脆弱性の不正利用に使用できるのは、該当デバイス宛てのトラフィックだけです。この脆弱性は、ルーテッドファイアウォールモードとトランスペアレントファイアウォールモード、およびシングルコンテキストモードとマルチコンテキストモードで設定されたCisco ASAソフトウェアに影響を与えます。また、この脆弱性は、IPv4 トラフィックと IPv6 トラフィックでトリガーされる可能性があります。

この脆弱性は、Cisco Bug ID CSCuq77655( 登録ユーザ専用)として文書化され、CVE IDとしてCVE-2015-0676が割り当てられています

Cisco ASA VPN XMLパーサーのDoS脆弱性

Cisco ASAソフトウェアのXMLパーサーの脆弱性により、認証されていないリモートの攻撃者がWebVPNコンポーネントのクラッシュを引き起こし、すべてのSSL VPN接続のリセット、システムの不安定性、および該当システムのリロードを引き起こす可能性があります。

この脆弱性は、XMLパーサー設定の強化が不十分であることに起因します。攻撃者は、巧妙に細工されたXMLメッセージを該当システムに送信することにより、この脆弱性を不正利用する可能性があります。この脆弱性は、クライアントレスまたはAnyConnect SSL VPNおよびAnyConnect IKEv2 VPN用に設定されたCisco ASAアプライアンスに影響を与えます。他のすべてのVPN設定は、この脆弱性の影響を受けません。

注：この脆弱性の不正利用に使用できるのは、該当システム宛てのトラフィックだけです。この脆弱性は、ルーテッドファイアウォールモードおよびシングルコンテキストモードで設定されたシステムにのみ影響します。また、この脆弱性は、IPv4 トラフィックと IPv6 トラフィックでトリガーされる可能性があります。

この脆弱性は、Cisco Bug ID CSCus95290( 登録ユーザ専用)として文書化され、CVE IDとしてCVE-2015-0677が割り当てられています

回避策

Cisco ASA Failover Command Injection Vulnerabilityでは、 failover key機能を使用してフェールオーバー保護を設定し、 failover ipsec機能を削除することで、この問題を回避できます。フェールオーバーキーを設定するには、 failover key <key>コマンドを使用します。次の例は、 failover ipsec機能を削除し、キー値 cisco-keyを使用して failover key機能を設定する方法を示しています。

ciscoasa(config)#no failover ipsec pre-shared-key

ciscoasa(config)#failover key cisco-key

Cisco ASAのDNSメモリ枯渇の脆弱性に対しては、DNSサーバグループで再試行回数の設定を0に減らすことで、この問題を回避できます。

次の例は、デフォルトのDNSサーバグループ( DefaultDNS)のリトライ設定を0に設定する方法を示しています

ciscoasa(config-dns-server-group)# DNS server-group DefaultDNS

ciscoasa(config-dns-server-group)# retries 0

Cisco ASA VPN XMLパーサーのDoS脆弱性に対する回避策はありません。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories, Responses, and Alerts アーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

次のCisco ASAソフトウェアの表の各行には、Cisco ASAメジャーリリースごとに、このアドバイザリに記載されている各脆弱性に対する最初の修正リリースが記載されています。表の最後の行には、各Cisco ASAメジャーリリースに対する本アドバイザリに記載されているすべての脆弱性の修正を含むリリースバージョンに関する情報が表示されます。お客様は、これらのリリースバージョンと同等またはそれ以降のリリースにアップグレードする必要があります。

7.2

8.2

8.3

8.4

8.5

8.6

8.7

9.0

9.1

9.2

9.3

9.4

CSCur21069 - Cisco ASAフェールオーバーコマンドインジェクションの脆弱性

Not affected

Not affected

Not affected

Not affected

Not affected

Not affected

Not affected

Not affected

9.1(6)

9.2（3.3）

9.3(3)2

Not affected

CSCuq77655 - Cisco ASA DNSメモリ枯渇の脆弱性

7.2(5.16)2

8.2（5.57）

8.3（2.44）

8.4（7.28）

8.5（1.24）

8.6（1.17）

8.7（1.16）

9.0（4.33）

9.1（6.1）

9.2（3.4）

9.3(3)2

Not affected

CSCus95290:Cisco ASA VPN XML ParserのDenial of Service Vulnerability

Not affected

Not affected

Not affected

8.4（7.28）

Not affected

8.6（1.17）

Not affected

9.0（4.33）

9.1(6)

9.2（3.4）

9.3(3)2

Not affected

このセキュリティアドバイザリのすべての脆弱性を修正する推奨リリース^1

7.2(5.16)2以降

8.2 (5.57) 以降

8.3 (2.44) 以降

8.4 (7.28) 以降

8.5 (1.24) 以降

8.6 (1.17) 以降

8.7 (1.16) 以降

9.0 (4.33) 以降

9.1 (6.1) 以降

9.2 (3.4) 以降

9.3(3)2以降

Not affected

14月8日にリリースされたCisco Security Advisory Cisco ASA FirePOWER ServicesおよびCisco ASA CX Crafted Packets Denial of Service Vulnerability( cisco-sa-20150408-cxfp)の脆弱性を解決するには、Cisco ASAソフトウェアリリースのアップグレードが必要になる場合があります。Cisco ASAのお客様は、cisco-sa-20150408-cxfpを確認してから、どのCisco ASAソフトウェアリリースにアップグレードするかを決定する必要があります。

Cisco Security Advisory Cisco ASA FirePOWER Services and Cisco ASA CX Crafted Packets Denial of Service Vulnerabilityは、次のリンクから入手できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150408-cxfp

2 Cisco ASAリリース7.2(5.16)および9.3(3)は、4月15日までに提供される予定です。

ソフトウェアのダウンロード

Cisco ASAソフトウェアは、Software Center(Cisco.com)からダウンロードできます。 http://www.cisco.com/cisco/software/navigator.html

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスおよびCisco ASA 5500-X Next Generation Firewallの場合は、[製品(Products)] > [セキュリティ(Security)] > [ファイアウォール(Firewalls)] > [適応型セキュリティアプライアンス(ASA)(Adaptive Security Appliances (ASA))] > [<Cisco ASAモデル>] > [適応型セキュリティアプライアンス(ASA)ソフトウェア(Adaptive Security Appliance (ASA) Software)] に移動します。これらのバージョンの一部は暫定バージョンであり、ダウンロードページの[Interim] タブを展開すると表示されます。

Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用Cisco ASAサービスモジュールの場合は、[製品(Products)] > [Ciscoインターフェイスおよびモジュール(Cisco Interfaces and Modules)] > [Ciscoサービスモジュール(Cisco Services Modules)] > [Cisco Catalyst 6500シリーズ/7600シリーズASAサービスモジュール(Cisco Catalyst 6500 Series / 7600 Series ASA Services Module)] > [Adaptive Security Appliance (ASA Software] ]に]に移動します。これらのバージョンの一部は暫定バージョンであり、ダウンロードページの[Interim] タブを展開すると表示されます。

Cisco ASA 1000Vクラウドファイアウォールの場合は、[製品(Products)] > [セキュリティ(Security)] > [ファイアウォール(Firewalls)] > [適応型セキュリティアプライアンス(ASA)(Adaptive Security Appliances (ASA))] > [Cisco ASA 1000Vクラウドファイアウォール(Cisco ASA 1000V Cloud Firewall)] > [適応型セキュリティアプライアンス(ASA)ソフトウェア(Adaptive Security Appliance (ASA) Software)] に移動します。

Cisco適応型セキュリティ仮想アプライアンス(ASAv)で、[製品(Products)] > [セキュリティ(Security)] > [ファイアウォール(Firewalls)] > [適応型セキュリティアプライアンス(ASA)(Adaptive Security Appliances (ASA))] > [Cisco適応型セキュリティ仮想アプライアンス(ASAv)(Cisco Adaptive Security Virtual Appliance (ASAv))] > [適応型セキュリティアプライアンス(ASA)ソフトウェア(Adaptive Security Appliance (ASA Software)] に移動します。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例とその公表は確認しておりません。

Cisco ASAフェールオーバーコマンドインジェクションの脆弱性は、Alec Stuart-Muirkによってシスコに報告されました。

Cisco ASAのDNSメモリ枯渇の脆弱性は、サポートケースの解決中に発見されました。

Cisco ASA VPN XMLパーサーのDoS脆弱性は、AECのOldrich Valka氏によってシスコに報告されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150408-asa

改訂履歴

リビジョン 1.0

2015年4月8日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。