Critical

アドバイザリーID : cisco-sa-20160210-asa-ike

初公開日 : 2016-02-10 16:00

最終更新日 : 2016-05-18 13:50

バージョン 1.3 : Final

CVSSスコア : 10.0

回避策 : No workarounds available

Cisco バグ ID : CSCux29978 CSCux42019

CVE-2016-1287

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco ASAソフトウェアのインターネットキーエクスチェンジ(IKE)バージョン1(v1)およびIKEバージョン2(v2)コードの脆弱性により、認証されていないリモートの攻撃者が該当システムのリロードを引き起こしたり、コードをリモートで実行したりする可能性があります。

この脆弱性は、影響を受けるコード領域のバッファオーバーフローに起因します。攻撃者は、巧妙に細工されたUDPパケットを該当システムに送信することにより、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者は任意のコードを実行してシステムのフルコントロールを取得したり、該当システムのリロードを引き起こしたりする可能性があります。

注：この脆弱性の不正利用に使用できるのは、該当システム宛てのトラフィックだけです。この脆弱性は、シングルコンテキストモードまたはマルチコンテキストモードで、ルーテッドファイアウォールモードに設定されたシステムにのみ影響します。また、この脆弱性は、IPv4 トラフィックと IPv6 トラフィックでトリガーされる可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160210-asa-ike

該当製品

次の製品で実行されている該当Cisco ASAソフトウェアは、この脆弱性の影響を受ける可能性があります。

- Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンス

- Cisco ASA 5500-X シリーズ次世代ファイアウォール

- Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用Cisco ASAサービスモジュール

- Cisco ASA 1000V クラウド ファイアウォール

- Cisco 適応型セキュリティ仮想アプライアンス（ASAv）

- Cisco Firepower 9300 ASAセキュリティモジュール

- Cisco ISA 3000 Industrial Security Appliance

影響を受けるリリースの詳細については、このセキュリティアドバイザリの「修正済みソフトウェア」セクションを参照してください。

脆弱性のある製品

Cisco ASAソフトウェアは、システムがIKEv1またはIKEv2 VPN接続を終了するように設定されている場合、またはEasy VPNハードウェアクライアントとして設定されている場合に、この脆弱性の影響を受けます。

IKEv1またはIKEv2 VPN接続を終了するように設定されたCisco ASAソフトウェア

Cisco ASAソフトウェアは、システムがIKEv1またはIKEv2 VPN接続を終了するように設定されている場合、この脆弱性の影響を受けます。これには次の接続が含まれます。

- LAN 間 IPsec VPN

- IPsec VPNクライアントを使用したリモートアクセスVPN

- Layer 2 Tunneling Protocol（L2TP）-over-IPsec VPN 接続

- IKEv2 AnyConnect

次のVPN接続のみを終端するようにシステムが設定されている場合、Cisco ASAソフトウェアはこの脆弱性の影響を受けません。

- クライアントレス SSL

- AnyConnect SSL

Cisco ASAがIKEv1またはIKEv2 VPN接続を終端するように設定されているかどうかを確認するには、少なくとも1つのインターフェイスにクリプトマップを設定する必要があります。管理者は show running-config crypto map | include interfaceコマンドを使用して、出力が返されることを確認します。次の例は、 outside_mapという名前の暗号マップが outsideインターフェイスに設定されていることを示しています。

ciscoasa# show running-config crypto map | include interface

crypto map outside_map interface outside

注：設定ミスまたは設定の一部が原因で、クリプトマップが設定されていない場合でも、IKEv1またはIKEv2プロセスは着信IKEメッセージを受け入れる場合があります。クリプトマップが設定されていない管理者は、該当するシステムでIKEv1またはIKEv2が無効であることも確認する必要があります。

IKEv1が有効になっていることを確認するには、次のコマンドを使用して、コマンドから出力が返されることを確認します。

- show running-config crypto ikev1 | include enableコマンド（Cisco ASAソフトウェアリリース8.4以降）

- show running-config crypto isakmp | include enableコマンド（Cisco ASAソフトウェアリリース7.2.1 ～ 8.4用）

- show running-config | include isakmp enableコマンド（Cisco ASAソフトウェアリリース7.2.1より前）

IKEv2が有効になっていることを確認するには、 show running-config crypto ikev2 | include enableコマンドを使用して、出力が返されることを確認します。

Easy VPNハードウェアクライアントとして設定されたCisco ASAソフトウェア

Cisco ASAソフトウェアは、システムがEasy VPNハードウェアクライアントとして設定されている場合、この脆弱性の影響を受けます。

システムがEasy VPNハードウェアクライアントとして設定されていることを確認するには、 show running-config vpnclient | include enableコマンドを使用して、出力が返されることを確認します。次の例は、Easy VPNハードウェアクライアントとして設定されたCisco ASAを示しています。

ciscoasa# show running-config vpnclient | include enable

vpnclient enable

注：Easy VPNハードウェアクライアントとして設定されたCisco ASAソフトウェアでこの脆弱性を不正利用するには、攻撃者はCisco ASAに悪意のあるVPNサーバへの接続を強制する必要があります。

脆弱性を含んでいないことが確認された製品

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

セキュリティ侵害の痕跡

Cisco IPSシグニチャ7169-0および7169-1とSnort SID 36903および37674では、この脆弱性を不正利用する試みを検出できます。

回避策

この脆弱性に対処する回避策はありません。

修正済みソフトウェア

シスコはこのアドバイザリに記載された脆弱性に対処する無償のソフトウェアアップデートをリリースしています。お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットに対してのみとなります。そのようなソフトウェアアップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は以下のリンクに記載されたシスコのソフトウェアライセンスの条項に従うことに同意したことになります。

http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html

また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシスコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成は新規リリースでも継続して適切なサポートが受けられることを確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

サービス契約をご利用でないお客様

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティ ベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center（TAC）に連絡してアップグレードを入手してください。

http://www.cisco.com/c/ja_jp/support/web/tsd-cisco-worldwide-contacts.html

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

修正済みリリース

次の表では、左の列に、Cisco ASA ソフトウェアのメジャー リリースを示します。右の列は、メジャー リリースが本アドバイザリに記載している脆弱性に該当するかどうか、また、本脆弱性に対する修正を含む最初のリリースに該当するかどうかを示します。

Cisco ASA メジャー リリース

First Fixed Release（修正された最初のリリース）

7.21

該当。9.1(6.11)以降に移行してください。

8.0^1

該当。9.1(6.11)以降に移行してください。

8.1^1

該当。9.1(6.11)以降に移行してください。

8.2^1

8.2(5.59)2

8.3^1

該当。9.1(6.11)以降に移行してください。

8.4

8.4(7.30) 以降

8.51

Not affected

8.61

該当。9.1(6.11)以降に移行してください。

8.7

8.7(1.18) 以降

9.0

9.0(4.38) 以降

9.1

9.1(6.11) 以降

9.2

9.2(4.5) 以降

9.3

9.3(3.7) 以降

9.4

9.4(2.4) 以降

9.5

9.5(2.2) 以降

1 Cisco ASAソフトウェアリリース7.2、8.0、8.1、8.2、8.3、8.5、および8.6は、ソフトウェアメンテナンスが終了しています。お客様は、サポートされているリリースに移行する必要があります。

2 Cisco ASAソフトウェアリリース8.2は、2015年10月21日にソフトウェアメンテナンスが終了しました。サポート終了トレイン8.2ソフトウェアを使用しているお客様を保護するため、Cisco ASA製品チームは、この問題に対処するオフサイクルリリースを提供しています。シスコでは、8.2のトレーニングに対する追加のオフサイクルアップデートの計画がないため、お客様は関連するサポート組織と協力して、サポート対象ソフトウェアに移行することをお勧めします。

ソフトウェアのダウンロード

Cisco ASAソフトウェアは、Cisco.comのSoftware Centerからhttp://www.cisco.com/cisco/software/navigator.htmlにアクセスしてダウンロードできます。

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスおよびCisco ASA 5500-Xシリーズ次世代ファイアウォールの場合は、次のパスに移動します。暫定バージョンを検索するには、ダウンロードページの左側にある[All Releases] > [Interim] をクリックします。

[製品(Products)] > [セキュリティ(Security)] > [ファイアウォール(Firewalls)] > [適応型セキュリティアプライアンス(ASA)(Adaptive Security Appliances (ASA))] > [ASA 5500-Xシリーズファイアウォール(ASA 5500-X Series Firewalls)] > <Cisco ASAモデル> > [シャーシ上のソフトウェア(Software on Chassis)] > [適応型セキュリティアプライアンス(ASA)ソフトウェア(Adaptive Security Appliance (ASA) Software)

Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用Cisco ASAサービスモジュールの場合は、次のパスに移動します。暫定バージョンを検索するには、ダウンロードページの左側にある[All Releases] > [Interim] をクリックします。

[製品(Products)] > [Cisco Interfaces and Modules] > [Services Modules] > [Catalyst 6500 Series / 7600 Series ASA Services Module] > [Adaptive Security Appliance(ASA)Software]

Cisco ASA 1000Vクラウドファイアウォールの場合は、次のパスに移動します。

[製品(Products)] > [セキュリティ(Security)] > [ファイアウォール(Firewalls)] > [適応型セキュリティアプライアンス(ASA)(Adaptive Security Appliances (ASA))] > [ASA 1000Vクラウドファイアウォール(ASA 1000V Cloud Firewall)]

Cisco適応型セキュリティ仮想アプライアンス(ASAv)の場合は、次のパスに移動します。

[製品(Products)] > [セキュリティ(Security)] > [ファイアウォール(Firewalls)] > [適応型セキュリティアプライアンス(ASA)(Adaptive Security Appliances (ASA))] > [適応型セキュリティアプライアンス(ASA)(Adaptive Security Appliance (ASA) Software)]

Cisco Firepower 9300 ASAモジュールの場合、次のパスに移動します。

[製品(Products)] > [セキュリティ(Security)] > [ファイアウォール(Firewalls)] > [次世代ファイアウォール(NGFW)(Next-Generation Firewalls (NGFW))] > [Firepower 9000シリーズ(Firepower 900 Series)] > [Firepower 9300セキュリティアプライアンス(Firepower 9300 Security Appliance)] > [適応型セキュリティアプライアンス(ASA)ソフトウェア(Adaptive Security Appliance (ASA) Software)]

Cisco ISA 3000 Industrial Security Applianceの場合は、次のパスに移動します。

[製品(Products)] > [セキュリティ(Security)] > [ファイアウォール(Firewalls)] > [3000 Series Industrial Security Appliances (ISA)] > <your Cisco ISA 3000 model> > [適応型セキュリティアプライアンス(ASA)ソフトウェア(Adaptive Security Appliance (ASA) Software)]

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

Exodus Intelligenceは次の場所で公開ブログを提供しています。

https://blog.exodusintel.com/2016/02/10/firewall-hacking/

2016年5月17日に、Exodus Intelligenceは次の場所で概念実証スクリプトも公開しました。

https://github.com/exodusintel/disclosures/blob/master/CVE_2016_1287_PoC

出典

この脆弱性は、Exodus IntelligenceのDavid Barksdale、Jordan Gruskovnjak、およびAlex Wheelerによってシスコに報告されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160210-asa-ike

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.3

公開利用の可用性に関する情報を追加。

不正利用事例と公式発表

Final

2016年5月18日

1.2

「脆弱性が存在する製品と修正済みソフトウェア」セクションの情報を更新。Indicators of Compromiseにシグニチャを追加。

脆弱性が存在する製品、侵害の痕跡、修正済みソフトウェア

Final

2016 年 2 月 16 日

1.1

『Indicators of Compromise and Exploitation（侵入と悪用の痕跡）』および『Public Announcements（公式発表）』を追加情報とともに更新。

侵害の痕跡、悪用、および公式発表

Final

2016 年 2 月 11 日

1.0

初回公開リリース

-

Final

2016年2月10日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。