Multiple Vulnerabilities in OpenSSL (June 2015) Affecting Cisco Products

目次

要約
該当製品
詳細
脆弱性スコア詳細
影響
ソフトウェア バージョンおよび修正
回避策
修正済みソフトウェアの入手
不正利用事例と公式発表
この通知のステータス：Final
情報配信
更新履歴
シスコ セキュリティ手順

脆弱性が認められる製品

脆弱性が認められない製品

2015 年 6 月 11 日、OpenSSL Project は 6 個の脆弱性、および Diffie-Hellman（DH）への対策を発表しました。この脆弱性の少なくとも 1 つが、OpenSSL のクライアントとサーバの両方に影響を与えます。脆弱性の名称およびそれらに関連する Common Vulnerabilities and Exposures（CVE）ID は、次のとおりです。

これらの脆弱性がシスコ製品に与える影響は、製品によって異なる可能性があります。

シスコ製品については、本ドキュメントの「該当製品」リストの Cisco Bug ID 情報を参照してください。追加情報や詳しい手順は、シスコの各製品のインストール ガイド、コンフィギュレーション ガイド、メンテナンス ガイドに記載されています。さらに説明やアドバイスが必要な場合、サポート担当者にお問い合わせください。

DHE Man-in-the-Middle（Logjam）

OpenSSL は、768 ビット未満の DH パラメーターによるハンドシェイクを拒否することによって Transport Layer Security（TLS）クライアントに対する保護を追加しました。以前シスコは、「Understanding Logjam and Future-Proofing Your Infrastructure」において、DHE 中間者攻撃（Logjam）に関するブログを公開しました。

OpenSSL X509_cmp_time Read Out-of-Bounds Denial of Service Vulnerability

OpenSSL が発表したこの脆弱性では、認証されていないリモートの攻撃者によって、対象システムで Denial of Service（DoS）状態が発生する可能性があります。

この脆弱性は、影響を受けたソフトウェアによって、ユーザによる入力に対して適切でない境界チェックが行われることに起因します。攻撃者は、細工した証明書を送信し、証明書失効リスト（CRL）が影響を受けたソフトウェアによって処理されるようにして、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者はシステムで DoS 状態を発生させることが可能になります。

この脆弱性には CVE ID として CVE-2015-1789 が割り当てられています。

OpenSSL CMS Verify Unknown Hash Function Denial of Service Vulnerability

OpenSSL が発表したこの脆弱性では、認証されていないリモートの攻撃者によって、Denial of Service（DoS）状態が発生する可能性があります。

この脆弱性は、影響を受けたソフトウェアによって、ユーザの入力に対して不適切な処理が行われることに起因します。認証されていないリモートの攻撃者は、細工したメッセージをターゲット システムへ送信することにより、脆弱性を不正利用することができます。このようなメッセージを処理すると、攻撃者は、影響を受けたソフトウェアで応答を停止させることができます。この不正利用により、攻撃者はターゲット システムで DoS 状態を発生させることが可能になります。

この脆弱性には CVE ID として CVE-2015-1792 が割り当てられています。

OpenSSL DTLS Invalid Free Memory Corruption Vulnerability

OpenSSL には、認証されていないリモートの攻撃者がターゲット システムで Denial of Service（DoS）状態を発生させる可能性のある脆弱性があります。

この脆弱性は、Datagram Transport Layer Security（DTLS）のピア データの検証が十分でないことに起因します。認証されていないリモートの攻撃者は、細工されたアプリケーション データを影響を受けたソフトウェアに送信することにより、脆弱性を不正利用することができます。この脆弱性を不正利用することにより、攻撃者は DoS 状態を引き起こし、正当なユーザに対するサービス拒否を発生させる可能性があります。

この脆弱性には CVE ID として CVE-2014-8176 が割り当てられています。

OpenSSL Malformed ECParameters Infinite Loop Denial of Service Vulnerability

OpenSSL が発表したこの脆弱性では、認証されていないリモートの攻撃者によって、Denial of Service（DoS）状態が発生する可能性があります。

この脆弱性は、ユーザによる入力を適切に処理できないことに起因します。攻撃者は、細工した依頼をターゲット システムへ送信することにより、脆弱性を不正利用することができます。このような依頼を処理すると、攻撃者は、影響を受けたソフトウェアで応答を停止させることができます。

この脆弱性には CVE ID として CVE-2015-1788 が割り当てられています。

OpenSSL Missing EnvelopedContent PKCS #7 Denial of Service Vulnerability

OpenSSL が発表したこの脆弱性では、認証されていないリモートの攻撃者によって、Denial of Service（DoS）状態が発生する可能性があります。

この脆弱性は、影響を受けたソフトウェアが、ユーザが提供した Public-Key Cryptography Standard #7（PKCS #7）のデータを適切に処理できないことに起因します。攻撃者は、細工した依頼をターゲット システムへ送信することにより、脆弱性を不正利用することができます。リクエストを処理すると、影響を受けたソフトウェアが応答を停止し、正当なユーザに対して DoS 状態が発生する可能性があります。

この脆弱性には CVE ID として CVE-2015-1790 が割り当てられています。

OpenSSL NewSessionTicket Double-Free Memory Corruption Vulnerability

OpenSSL が発表したこの脆弱性では、認証されていないリモートの攻撃者がメモリ コラプションを発生させる可能性があります。

この脆弱性は、影響を受けたソフトウェアがセッション データを適切に処理できないことに起因します。攻撃者は、細工したセッション リクエストをターゲット システムへ送信することにより、脆弱性を不正利用することができます。このようなリクエストを処理すると、影響を受けたソフトウェアはメモリ コラプションが発生し、サービス妨害（DoS）状態となる可能性があります。

この脆弱性には CVE ID として CVE-2015-1791 が割り当てられています。

シスコはこのアドバイザリでの脆弱性に対して Common Vulnerability Scoring System（CVSS）に基づいたスコアを提供しています。本セキュリティ アドバイザリでの CVSS スコアは、CVSS バージョン 2.0 に基づいています。

CVSS は、脆弱性の重要度を示唆するもので、緊急性および対応の優先度を決定する組織の手助けとなる標準ベースの評価法です。

シスコでは、基本評価スコア（Base Score）および現状評価スコア（Temporal Score）を提供しています。お客様はこれらを用いて環境評価スコア（Environmental Score）を算出し、自身のネットワークにおける脆弱性の影響度を知ることができます。

シスコは次のリンクで CVSS に関する追加情報を提供しています。

http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html

またシスコでは、各ネットワークにおける環境影響度を算出する CVSS 計算ツールを次のリンクで提供しています。

http://intellishield.cisco.com/security/alertmanager/cvss

このアドバイザリに記載されている脆弱性を不正利用すると、攻撃者は DoS 状態を発生させることが可能になります。

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや、本アドバイザリ以降に公開されるアドバイザリを参照して、起こりうる障害と、それに十分に対応できるアップグレード ソリューションを判断してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

特定のシスコ製品の回避策を確認するには、Cisco Bug Search Tool を使用して Cisco Bug ID を参照してください。

シスコはこのアドバイザリに記載された脆弱性に対処する無償のソフトウェア アップデートを提供しています。ソフトウェアの導入を行う前に、お客様のメンテナンス プロバイダーにご相談いただくか、ソフトウェアのフィーチャ セットの互換性およびお客様のネットワーク環境の特有の問題をご確認ください。

お客様がインストールしたりサポートを受けたりできるのは、ご購入いただいたフィーチャ セットに対してのみとなります。そのようなソフトウェア アップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html に記載のシスコのソフトウェア ライセンスの条項に従うことに同意したことになります。

サービス契約をご利用のお客様

サードパーティのサポート会社をご利用のお客様

サービス契約をご利用でないお客様

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

これらの脆弱性は、2015 年 6 月 11 日に OpenSSL Project により公開されたものです。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証を示唆するものでもありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。またシスコはいつでも本ドキュメントの変更や更新を実施する権利を有します。新しい情報が入り次第、このドキュメントは更新される予定です。

後述する情報配信の URL を省略し、本アドバイザリの記述内容に関して単独の転載や意訳を実施した場合には、事実誤認ないし重要な情報の欠落を含む統制不可能な情報の伝搬が行われる可能性があります。

このアドバイザリは次のリンクにある Cisco Security に掲載されます。

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150612-openssl

また、このアドバイザリのテキスト版が Cisco PSIRT PGP キーによるクリア署名つきで次の E メールで配信されています。

• cust-security-announce@cisco.com
• first-bulletins@lists.first.org
• bugtraq@securityfocus.com
• vulnwatch@vulnwatch.org
• cisco@spot.colorado.edu
• cisco-nsp@puck.nether.net
• fulldisclosure@seclists.org

本アドバイザリに関する今後の更新は Cisco.com に掲載されますが、メーリング リストで配信されるとは限りません。更新内容については、本アドバイザリの URL でご確認ください。

今後のドキュメントや関連コンテンツの入手手順については、Security Vulnerability Policy の Receiving Security Vulnerability Information from Cisco を参照してください。

シスコ製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関するサポート、およびシスコからセキュリティ情報を入手するための登録方法の詳細については、Cisco.com の http://www.cisco.com/web/about/security/psirt/security_vulnerability_policy.html を参照してください。この Web ページには、Cisco Security Advisory に関してメディアが問い合わせる際の指示が掲載されています。すべてのシスコ セキュリティ アドバイザリは、http://www.cisco.com/go/psirt で確認することができます。