Cisco 適応型セキュリティ アプライアンス ソフトウェアおよび Cisco Firepower Threat Defense ソフトウェアの Denial of Service（Dos）の脆弱性

シスコはこの脆弱性に対処するソフトウェア アップデートをリリースしました。 この脆弱性に対処する回避策はありません。 この脆弱性に対処するためのリスク軽減方法があります。

このアドバイザリは、次のリンクより確認できます。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181031-asaftd-sip-dos

このアドバイザリで説明されている脆弱性が活発に不正利用されていると、show conn port 5060 の出力に多数の不完全な SIP 接続が示され、show processes cpu-usage non-zero sorted の出力に高い CPU 使用率が示されます。

この脆弱性の不正利用が成功すると、該当デバイスがクラッシュしてリロードが引き起こされる可能性もあります。 デバイスが再起動すると、show crashinfo の出力に DATAPATH スレッドの未知のアボートが示されます。 特定のクラッシュがこの脆弱性の不正利用に関連したものであったかどうかを判断するには、これらの情報を用意して Cisco TAC に連絡する必要があります。

この脆弱性に対処する回避策はありませんが、 ただし、いくつかのリスク軽減方法があります。 これらのリスク軽減オプションは、物理および仮想アプライアンスの両方に適用されます。

オプション 1： SIP インスペクションの無効化

SIP インスペクションを無効にすると、この脆弱性の攻撃ベクトルが完全に閉じます。 ただし、これは一部の環境には適さない可能性があります。 具体的には、SIP インスペクションを無効にすると、NAT が SIP トラフィックに適用されているか、SIP 通信に必要なポートの一部が ACL によって開かれていない場合、SIP 接続が切断されます。

SIP インスペクションを無効にするには、次のように設定します。

• Cisco ASA ソフトウェア
  

  policy-map global_policy
   class inspection_default
    no inspect sip

• Cisco FTD ソフトウェア リリース

  configure inspection sip disable
  

  注: コマンドは FTD CLI から発行されます。

オプション 2： 攻撃ホストのブロック

顧客は Access Control List （ACL）を使用して接続テーブルで見られる特定のソース IP アドレスからのトラフィックをブロックできます。 ACL を適用したら、必ず、clear conn address <ip_address> コマンドを EXEC モードで実行して、その送信元の既存の接続を消去してください。

あるいは、shun <ip_address> コマンドを EXEC モードで実行して、攻撃ホストを排除することもできます。 これにより、設定を変更することなく、その送信元 IP からのすべてのパケットをブロックできます。 ただし、この排除は、再起動すると維持されないことに注意してください。

オプション 3： 0.0.0.0 の Sent-by アドレスによるフィルタリング

観察された事例では、攻撃トラフィックの Sent-by アドレスが無効な値である 0.0.0.0 に設定されていたことが判明しています。 管理者の環境内でこのパターンの攻撃トラフィックが確認されたら（たとえば、パケット キャプチャによって確認）、次の設定を適用してクラッシュを防止できます。

regex VIAHEADER "0.0.0.0"

policy-map type inspect sip P1
parameters
match message-path regex VIAHEADER
 drop

policy-map global_policy
class inspection_default
 no inspect sip
 inspect sip P1

FTD 6.2 以降では、Cisco Firepower Management Center（FMC）を使用して FlexConfig ポリシーによりこの設定を追加します。

オプション 4: レート制限 SIP トラフィック

モジュラ ポリシー フレームワーク（MPF）を使用して SIP トラフィックにレート制限をかけることにより、この脆弱性を軽減することもできます。 これらのポリシーの実装方法は、各環境で選択された導入仕様と実装方法によって異なります。 MPF ポリシー実装の支援を必要とするお客様は、Cisco TAC またはアドバンスド サービス（AS）担当者までお問い合わせください。

注: 攻撃者はスプーフィングされた IP パケットを使用してこの脆弱性を不正利用する可能性があります。

Cisco is in the process of releasing free software updates that address the vulnerability described in this advisory. お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットに対してのみとなります。 そのようなソフトウェア アップグレードをインストール、ダウンロードする、または、アクセスしたり、その他の方法で使用する場合、お客様は以下のリンクに記載されたシスコのソフトウェア ライセンスの条項に従うことに同意したことになります。
https://www.cisco.com/c/en/us/products/end-user-license-agreement.html

また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシスコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。 通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。 無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

ソフトウェアのアップグレードを検討する際には、Cisco Security Advisories and Alerts ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成は新規リリースでも継続して適切なサポートが受けられることを確認してください。 不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

サービス契約をご利用でないお客様

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティ ベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco TAC に連絡してアップグレードを入手してください。
https://www.cisco.com/c/en/us/support/web/tsd-cisco-worldwide-contacts.html

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

Cisco ASA ソフトウェア

¹ Cisco ASA ソフトウェアの 9.1 より前のリリース、Cisco ASA ソフトウェア リリース 9.2、9.3、9.5、および 9.7 については、ソフトウェア メンテナンスのマイルストーンが終了しています。 この脆弱性の修正を含むサポート対象リリースに移行することをお勧めします。

Cisco FTD ソフトウェア

Cisco FirePOWER システム ソフトウェアの修正済みリリースにアップグレードするために、次のいずれかの操作を実行できます。

• Cisco Firepower Management Center（FMC）を使用して管理しているデバイスについては、FMC インターフェイスを使用してアップグレードをインストールし、インストールが完了したら、アクセス コントロール ポリシーを再適用します。 インストールされている Snort バージョンは、FMC リリースによって異なります。
• Cisco Adaptive Security Device Manager（ASDM）または Cisco Firepower Device Manager（FDM）を使用して管理しているデバイスについては、ASDM または FDM インターフェイスを使用してアップグレードをインストールし、インストールが完了したらアクセス コントロール ポリシーを再適用します。

Cisco Product Security Incident Response Team（PSIRT）は、このアドバイザリに記載されている脆弱性が活発に不正利用されていることを認識しています。

この脆弱性は、Cisco TAC のサポート ケースの解決中に発見されました。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。