Medium

アドバイザリーID : cisco-sa-20180328-slogin

初公開日 : 2018-03-28 16:00

最終更新日 : 2022-12-15 22:19

バージョン 1.1 : Final

CVSSスコア : 6.8

回避策 : No workarounds available

Cisco バグ ID : CSCuy32360 CSCuz60599

CVE-2018-0180

CVE-2018-0179

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco IOSソフトウェアのログイン拡張機能（ログインブロック）の複数の脆弱性により、認証されていないリモートの攻撃者が該当システムのリロードを引き起こし、その結果サービス妨害(DoS)状態が発生する可能性があります。

これらの脆弱性の詳細については、このセキュリティアドバイザリの「詳細」セクションを参照してください。

両方の脆弱性に対処する回避策はありません。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-slogin

該当製品

脆弱性のある製品

これらの脆弱性は、Cisco IOSソフトウェアリリース15.4(2)T、15.4(3)M、または15.4(2)CG以降を実行しているシスコデバイスに影響を及ぼします。

Cisco IOS ソフトウェア リリースの判別

デバイス上で実行されている Cisco IOS ソフトウェア リリースは、管理者がデバイスにログインして、CLI で show version コマンドを使用し、表示されるシステム バナーを参照することにより確認できます。デバイスが Cisco IOS ソフトウェアを実行している場合、システム バナーに「Cisco Internetwork Operating System Software」や「Cisco IOS Software」などのテキストが表示されます。バナーにはインストールされたイメージ名もカッコ内に表示され、その後ろに、Cisco IOS ソフトウェアのリリース番号とリリース名が表示されます。一部のシスコ デバイスでは、show version コマンドをサポートしていなかったり、別の出力が表示されたりします。

次に、Cisco IOS ソフトウェア リリース 15.5(2)T1 が実行されていて、インストールされているイメージ名が C2951-UNIVERSALK9-M であるデバイスでのコマンド出力例を示します。

Router> show version

Cisco IOS Software, C2951 Software (C2951-UNIVERSALK9-M), Version 15.5(2)T1, RELEASE SOFTWARE (fc1)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2015 by Cisco Systems, Inc.

Compiled Mon 22-Jun-15 09:32 by prod_rel_team

.

.

.

Cisco IOS ソフトウェア リリースの命名と番号付けの規則に関する詳細は、『Cisco IOS and NX-OS Software Reference Guide』を参照してください。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

シスコは、これらの脆弱性がIOS XEソフトウェア、Cisco IOS XRソフトウェア、およびCisco NX-OSソフトウェアには影響を与えないことを確認しました。

詳細

Cisco IOSログイン拡張機能（ログインブロック）機能

Cisco IOSログイン拡張機能（ログインブロック）機能を使用すると、DoS攻撃の可能性が検出されたときに以降のログイン試行を自動的にブロックするオプションを設定することによって、ルータのセキュリティを強化できます。

この機能によって導入されたログインブロックとログイン遅延オプションは、TelnetまたはSSH仮想接続用に設定できます。この機能を有効にすると、「辞書攻撃」の速度を落とすことができます。つまり、接続試行の失敗が複数検出された場合に「無音期間」を適用し、DoS攻撃のタイプからルーティングデバイスを保護できます。

ログイン拡張機能（ログインブロック）機能の詳細については、『Cisco IOSセキュリティコンフィギュレーションガイド』を参照してください。

脆弱性の詳細

Cisco IOSソフトウェアのログイン拡張機能（ログインブロック）機能の2つの脆弱性により、認証されていないリモートの攻撃者が該当デバイスのリロードを引き起こし、その結果サービス妨害(DoS)状態が発生する可能性があります。

これらの脆弱性は互いに依存しないため、一方の脆弱性を悪用しても他方の脆弱性を悪用する必要はありません。また、いずれかの脆弱性の影響を受けるリリースであっても、他の脆弱性の影響は受けない場合があります。

これらの脆弱性の詳細については、次のとおりです。

Cisco IOSソフトウェアログインブロックのDoS脆弱性

Cisco IOSソフトウェアのログイン拡張機能（ログインブロック）機能の脆弱性により、認証されていないリモートの攻撃者が該当システムのリロードを引き起こし、その結果サービス妨害(DoS)状態が発生する可能性があります。

この脆弱性は、以前に割り当てられていないメモリ領域を解放しようとすることに起因します。攻撃者は、Secure Shell(SSH)または無効なクレデンシャルを持つTelnetを複数回使用して該当デバイスへのログインを試みることにより、この脆弱性を不正利用する可能性があります。

この脆弱性は、次の両方の条件が満たされた場合にのみ不正利用できます。

- login quiet-mode access-classは、login block-forを設定する前に設定されています。これらの機能はデフォルトでは有効になっていません。

- その設定が行われた後、デバイスがリロードされていない。

この脆弱性のCommon Vulnerabilities and Exposures(CVE)IDはCVE-2018-0179です。

この脆弱性のSecurity Impact Rating(SIR)はMediumです。

この脆弱性のCisco Bug IDはCSCuy32360です。

Cisco IOSソフトウェアログインブロックのDoS脆弱性

Cisco IOSソフトウェアのログイン拡張機能（ログインブロック）機能の脆弱性により、認証されていないリモートの攻撃者が該当システムのリロードを引き起こし、その結果サービス妨害(DoS)状態が発生する可能性があります。

この脆弱性は、以前に割り当てられていないメモリ領域を解放しようとすることに起因します。管理者がlogin block-for設定を変更している間に、攻撃者が無効なクレデンシャルを使用してSSHまたはTelnet経由で該当デバイスへのログインを複数回試みることにより、この脆弱性がエクスプロイトされる可能性があります。

この脆弱性は、該当デバイスでlogin block-forが設定されている場合にのみ不正利用できます。この機能はデフォルトでは有効になっていません。

この脆弱性のCVE IDはCVE-2018-0180です。

この脆弱性のSIRは次のとおりです。Medium

この脆弱性のCisco Bug IDはCSCuz60599です。

セキュリティ侵害の痕跡

次の条件は、セキュリティ侵害が発生したことを示している可能性があります。

Cisco IOSソフトウェアログインブロックのDoS脆弱性 – CSCuy32360

デバイスがクラッシュしてリロードする直前に、デバイスは次の例のようなメッセージを少なくとも2回記録します。

%SEC_LOGIN-4-LOGIN_FAILED: Login failed [user: USERNAME] [Source: xx.xx.xx.xx [localport: 22] [Reason: Login Authentication Failed] at 03:37:06 UTC Sat Feb 13 2016

%SEC_LOGIN-1-QUIET_MODE_ON: Still timeleft for watching failures is 52 secs, [user: USERNAME] [Source: xx.xx.xx.xx] [localport: 22] [Reason: Login Authentication Failed] [ACL: LOGIN_ACL] at 03:37:06 UTC Sat Feb 13 2016

この脆弱性が不正利用されると、該当するデバイスでcrashinfoファイルが生成されます。Cisco Technical Assistance Center(TAC)に連絡して、show tech-supportコマンドの出力とcrashinfoファイルを確認し、この脆弱性の不正利用によってデバイスが侵害されているかどうかを判断してください。

Cisco IOSソフトウェアログインブロックのDoS脆弱性 – CSCuz60599

該当システムでこの脆弱性が不正利用されると、デバイスは次の例のようなプロセスSecure Loginの不良チャンク参照数に関するエラーメッセージをログに記録します。

%SYS-2-CHUNKBADREFCOUNT: Bad chunk reference count, chunk 3F57D864 data 3F589728 refcount FFFFFFFF alloc pc 323635BC. -Process= "Secure Login", ipl= 0, pid= 388

この脆弱性が不正利用されると、該当するデバイスでcrashinfoファイルが生成されます。Cisco Technical Assistance Center(TAC)に連絡して、show tech-supportコマンドの出力とcrashinfoファイルを確認し、この脆弱性の不正利用によってデバイスが侵害されているかどうかを判断してください。

回避策

CSCuy32360で説明されている脆弱性の回避策として、管理者は次のいずれかのアクションを実行できます。

- login quiet-mode access-classを設定する前に、login block-forを設定します

- login block-forおよびlogin quiet-mode access-classが設定された後に、デバイスがリロードされることを確認します

CSCuz60599で説明されている脆弱性に対処する回避策はありません。

修正済みソフトウェア

修正済みソフトウェアリリースの詳細については、このアドバイザリの冒頭にあるCisco Bug IDを参照してください。

ソフトウェアのアップグレードを検討する際には、[シスコのセキュリティアドバイザリおよびアラート（Cisco Security Advisories and Alerts）] ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

不正利用事例と公式発表

2022年3月、Cisco Product Security Incident Response Team(PSIRT)は、この脆弱性の不正利用が試みられたことについて認識しました。これらの脆弱性が修正済みのソフトウェアリリースにアップグレードすることを、引き続き強くお勧めします。

出典

これらの脆弱性は、Cisco TACサポートケースの解決中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-slogin

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.1

不正利用情報を更新。

不正利用事例と公式発表

Final

2022年12月15日

1.0

初回公開リリース

-

Final

2018年3月28日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。