シスコ製品に影響を及ぼす OpenSSL の複数の脆弱性: 9月 2016 年

アドバイザリーID : cisco-sa-20160927-openssl

初公開日 : 2016-09-27 22:40

最終更新日 : 2019-01-02 16:44

バージョン 1.18 : Final

回避策 : No workarounds available

Cisco バグ ID : CSCvb48590 CSCvb48591 CSCvb48592 CSCvb48593 CSCvb48594 CSCvb48595 CSCvb50790 CSCvb48638 CSCvb48598 CSCvb48599 CSCvb48633 CSCvb48634 CSCvb48514 CSCvb48635 CSCvb48516 CSCvb48637 CSCvc32062 CSCvb48580 CSCvb48581 CSCvb48582 CSCvb48583 CSCvb48585 CSCvb50784 CSCvb50787 CSCvb48628 CSCvb48629 CSCvb48587 CSCvb48620 CSCvb48621 CSCvb48589 CSCvb48623 CSCvb48624 CSCvb48625 CSCvb48651 CSCvb48539 CSCvb48531 CSCvb48653 CSCvb48533 CSCvb48654 CSCvb48655 CSCvb48656 CSCvb48536 CSCvb48537 CSCvb48659 CSCvc39197 CSCvb48640 CSCvb48649 CSCvb48529 CSCvb47717 CSCvb92562 CSCvb48643 CSCvb48646 CSCvb48647 CSCvb31279 CSCvb51602 CSCvb48715 CSCvb48718 CSCvb48554 CSCvb48555 CSCvb48556 CSCvb48710 CSCvb48557 CSCvb48712 CSCvb48660 CSCvb48661 CSCvb48704 CSCvb48705 CSCvb48708 CSCvb48663 CSCvb48543 CSCvb48664 CSCvb48544 CSCvb48665 CSCvb48546 CSCvb48667 CSCvb48700 CSCvb48548 CSCvb48703 CSCvb48570 CSCvb48572 CSCvb48693 CSCvb48694 CSCvb48695 CSCvb48290 CSCvb48617 CSCvb48619 CSCvb48696 CSCvb48577 CSCvb48610 CSCvb48578 CSCvb48611 CSCvb48612 CSCvb48613 CSCvb48614 CSCvb48615 CSCvb48560 CSCvb48561 CSCvb48562 CSCvb48683 CSCvb48684 CSCvb48727 CSCvb48607 CSCvb48608 CSCvb48609 CSCvb17176 CSCvb48686 CSCvb48566 CSCvb48720 CSCvb48688 CSCvb48721 CSCvb48689 CSCvb48602 CSCvb48723 CSCvb48603 CSCvb48724 CSCvb48604 CSCvb48725

 

2016 年 9月 22 日で、OpenSSL ソフトウェア基礎は 14 脆弱性を記述するアドバイザリをリリースしました。 この 14 脆弱性の、OpenSSL ソフトウェア基礎は「低い重大度として「適度な重大度として「重要な重大度として分類します 1 つを」、1」、および他の 12」。

続いて、9 月 26 日に、OpenSSL ソフトウェア基礎は 2 新しい脆弱性を記述する追加アドバイザリをリリースしました。 前のアドバイザリで表われた脆弱性に対処するためにリリースされたこれらの脆弱性は OpenSSL バージョンに影響を与えます。 新しい脆弱性の 1 つは「適度な重大度として「高い重大度」および他として評価されました」。

16 リリースされた脆弱性の:

• サービス拒否 （DoS）状態という結果に終る可能性がある 14 のトラック問題
• 1 つは機密保持の損失という結果に終る可能性がある 64 ビット ブロックサイズを使用する Transport Layer Security （TLS）ブロック 暗号に対して（CVE-2016-2183、別名 SWEET32）誕生日不正侵入の実装をトラッキングします
• 1 つは（CVE-2016-2178）、特別な場合に、攻撃者が同じシステムの別のユーザかサービスが実行中に属する私用 DSA キーを得ることを可能にする可能性があるタイミング側チャネル不正侵入です

あらゆる Cisco製品にまだ統合、1.1.0 リリース シリーズの一部である 16 脆弱性の 5 つは専ら OpenSSL 最近リリースされたバージョンに影響を与えます。

このアドバイザリは、次のリンクより確認できます。
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160927-openssl

シスコでは、本脆弱性の影響を受ける製品と影響の範囲を特定するために、製品ラインを調査しました。 製品が影響を受けているかについて情報に関してはこのアドバイザリの「脆弱性が存在する製品」および「脆弱性が存在しない製品」セクションを参照して下さい。

「脆弱性が存在する製品」セクションは各々の影響を受けた製品のための Cisco バグ ID が含まれています。 Cisco Bug は Cisco Bug Search Tool で検索可能であり、回避策（使用可能な場合）と修正されたソフトウェア リリースなど、プラットフォーム固有の追加情報が記載されます。

関連するよくある脆弱性および公開（2016 年 9月 22 日表われた OpenSSL ソフトウェア基礎 Security Advisory の脆弱性のための CVE） ID は、および 2016 年 9月 26 日、次の通りです:

• CVE-2016-2177
• CVE-2016-2178
• CVE-2016-2179
• CVE-2016-2180
• CVE-2016-2181
• CVE-2016-2182
• CVE-2016-2183
• CVE-2016-6302
• CVE-2016-6303
• CVE-2016-6304
• CVE-2016-6305
• CVE-2016-6306
• CVE-2016-6307
• CVE-2016-6308
• CVE-2016-6309
• CVE-2016-7052

追加詳細

OpenSSL OCSP 綴じる Status 要求 メモリ枯渇脆弱性

OpenSSL のオンライン認証 ステータス プロトコル（OCSP）綴じる実装の脆弱性はリモート攻撃者非認証がターゲットのシステムのメモリを消費し続けるようにする可能性があります。 脆弱性は OCSP Status 要求 SSL/TLS 拡張の実装が原因です。

攻撃者はターゲットのシステムにによって設定することおよび繰り返して OCSP Status 要求をいつも送信 する 再ネゴシエーションを行うことこの脆弱性を SSL/TLS セッションを不正利用する可能性があります。 エクスプロイトは OpenSSL 脆弱 なコードを実行している攻撃者が不明確にプロセスへの割り当てられたメモリを増加し続けることを可能にする可能性があります。

この脆弱性には次の CVE ID が割り当てられています。 CVE-2016-6304.

OpenSSL トリプル DES CBC モード情報の漏えい脆弱性

OpenSSL の脆弱性はリモート攻撃者非認証が機密情報にアクセスするようにする可能性があります。

脆弱性は OpenSSL が 64 ビット ブロック 暗号を使用するトリプル DES Cipher Block Chaining （CBC）モードのような暗号化されたセッションの間に発生するかもしれない暗号ブロック衝突が原因です。 ネットワーク トラフィックのほぼテラバイトをキャプチャできる攻撃者は送信中にデータを復号化し、機密情報へのアクセス権を得るためにてこ入れできる暗号ブロック衝突を監視するのにこの脆弱性を不正利用する可能性があります。 不正利用に成功すると、将来の攻撃に利用される可能性があります。

この脆弱性には次の CVE ID が割り当てられています。 CVE-2016-2183.

シスコ製品への脆弱性適用されない

あらゆる Cisco製品にまだ統合、1.1.0 リリース シリーズの一部である次の CVE ID によって識別される脆弱性は専ら OpenSSL 最近リリースされたバージョンに影響を与えます:

• CVE-2016-6305
• CVE-2016-6307
• CVE-2016-6308
• CVE-2016-6309
• CVE-2016-7052

脆弱性の残りについての詳細については、OpenSSL ソフトウェア基礎によって公開される Security Advisory を参照して下さい:

• 2016 年 9月 22 日 Security Advisory
• 2016 年 9月 26 日 Security Advisory

これらの脆弱性に対処する回避策はありません。

該当するソフトウェア リリースのための更新は利用可能な、それらの更新についての情報が Ciscoバグ 検索ツールからアクセス可能である Ciscoバグで文書化されていますとき送達されます。

ソフトウェアのアップグレードを検討する際には、 Cisco Security Advisories and Alerts ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成は新規リリースでも継続して適切なサポートが受けられることを確認してください。 不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

これらの脆弱性は OpenSSL ソフトウェア基礎によって公に 2016 年 9月 22 日、および 2016 年 9月 26 日表われました。

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160927-openssl

—

バージョン	説明	セクション	ステータス	Date
1.18	Cisco SMA のための固定リリース情報を固定だった SMA バージョンを反映するためにアップデートしました。	脆弱性のある製品	最終版	2018-December-27
1.17	Cisco ESA のための固定リリース情報を修正があらゆる 10.x リリースで統合こと運ぶためにアップデートしました。	脆弱性のある製品	最終版	2018 年 12 月 19 日
1.16	固定リリース情報をアップデートしました。	脆弱性のある製品	最終版	2017-September-15
1.15	脆弱性のある製品のリストを更新。	脆弱性のある製品	最終版	2017-April-24
1.14	Cisco ESA のための固定リリース情報をアップデートしました。	脆弱性のある製品	最終版	2017-April-21
1.13	調査中の製品および脆弱性が存在する製品のリストを更新しました。	「該当製品」、「脆弱性のある製品」	最終版	2017-February-03
1.12	脆弱性のある製品のリストを更新。	脆弱性のある製品	Interim	2016-November-16
1.11	調査中の製品および脆弱性が存在する製品のリストを更新しました。	「該当製品」、「脆弱性のある製品」	Interim	2016-October-28
1.10	調査中の製品および脆弱性が存在する製品のリストを更新しました。	「該当製品」、「脆弱性のある製品」	Interim	2016-October-26
1.9	調査中の製品および脆弱性が存在する製品のリストを更新しました。	「該当製品」、「脆弱性のある製品」	Interim	2016-October-19
1.8	調査中の製品および脆弱性が存在する製品のリストを更新しました。	「該当製品」、「脆弱性のある製品」	Interim	2016-October-14
1.7	調査中の製品および脆弱性が存在する製品のリストを更新しました。	「該当製品」、「脆弱性のある製品」	Interim	2016-October-12
1.6	調査中の製品および脆弱性が存在する製品のリストを更新しました。	「該当製品」、「脆弱性のある製品」	Interim	2016-October-07
1.5	脆弱 で、脆弱 で はない 調査中の製品のリストをアップデートしました。	該当製品、脆弱性が存在する製品および脆弱性が存在しない製品	Interim	2016-October-05
1.4	脆弱 で、脆弱 で はない 調査中の製品のリストをアップデートしました。	該当製品、脆弱性が存在する製品および脆弱性が存在しない製品	Interim	2016-October-03
1.3	調査中の製品および脆弱性が存在する製品のリストを更新しました。	「該当製品」、「脆弱性のある製品」	Interim	2016-September-30
1.2	調査中の製品および脆弱性が存在する製品のリストを更新しました。	「該当製品」、「脆弱性のある製品」	Interim	2016-September-29
1.1	脆弱 で、脆弱 で はない 調査中の製品のリストをアップデートしました。	該当製品、脆弱性が存在する製品および脆弱性が存在しない製品	Interim	2016 年 9 月 28 日
1.0	初回公開リリース		Interim	2016-September-27

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。