High

アドバイザリーID : cisco-sa-20190501-asa-ftd-entropy

初公開日 : 2019-05-01 16:00

最終更新日 : 2019-05-02 17:49

バージョン 1.1 : Final

CVSSスコア : 5.3

回避策 : Yes

Cisco バグ ID : CSCvj52266

CVE-2019-1715

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco 適応型セキュリティ アプライアンス（ASA）および Cisco Firepower Threat Defense（FTD）ソフトウェアで使用される、擬似乱数生成器（PRNG）とも呼ばれる決定論的乱数生成器（DRBG）の脆弱性により、認証されていないリモートの攻撃者が暗号の不一致を引き起こし、該当デバイスの秘密キーを見つけ出せる危険性があります。

この脆弱性は、暗号キーを生成するときに DRBG のエントロピーが不十分であることに起因します。攻撃者は、該当デバイスで大量の暗号キーを生成してターゲット デバイスとの不一致を探すことにより、この脆弱性をエクスプロイトする危険性があります。エクスプロイトが成功すると、攻撃者が該当のターゲット デバイスになりすましたり、該当のターゲット デバイスとの間で送信される該当のキーで保護されているトラフィックを復号したりできる危険性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。本脆弱性に対処する回避策がいくつかあります。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190501-asa-ftd-entropy

該当製品

脆弱性のある製品

この脆弱性は、Cisco ASA ソフトウェア リリース 9.8 か 9.9、もしくは FTD ソフトウェア リリース 6.2.1、6.2.2、または 6.2.3 を実行している次のシスコ製品に影響を与えます。

- 3000 シリーズ産業用セキュリティ アプライアンス（ISA）

- FirePOWER サービスを使用する適応型セキュリティ アプライアンス（ASA）5500-X シリーズ

- 適応型セキュリティ仮想アプライアンス（ASAv）

- Firepower 4100 シリーズ

- FirePOWER 9300 ASA セキュリティ モジュール

- Firepower Threat Defense Virtual

注：Cisco ASAソフトウェアまたはFTDソフトウェアの他のリリースを実行しているデバイスでも、次の項目の少なくとも1つが設定されている場合に脆弱性が発生する可能性があります。

- 該当リリースの実行中に生成された RSA または ECDSA キー ペアをベースとするトラストポイント

- 該当リリースの実行中に生成された SSH アクセスで使用する RSA キー ペア

トラストポイントが設定されておらず、SSH アクセスで使用する RSA キーペアがない場合、デバイスは該当リリースを実行しているときにのみ脆弱になります。

脆弱性が存在する Cisco ASA ソフトウェアおよび FTD ソフトウェア リリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。

ASA ソフトウェア

次の表の左側の列に、脆弱な可能性のある Cisco ASA 機能を示します。また右の列には、show running-config CLI コマンドで判断可能な、この機能の基本設定を示します。

Cisco ASA 機能

脆弱性の可能性がある設定

Adaptive Security Device Manager（ASDM）1

http server enable <port>

http <remote_ip_address> <remote_subnet_mask> <interface_name>

AnyConnect SSL VPN

webvpn

enable <interface_name>

Cisco Security Manager^1

http server enable <port>

http <remote_ip_address> <remote_subnet_mask> <interface_name>

クライアントレス SSL VPN（WebVPN）

webvpn

enable <interface_name>

IKEv1 VPN（リモート アクセスおよび LAN-to-LAN）

証明書ベースの認証を使用

crypto ikev1 enable <interface_name>

crypto ikev1 policy <priority>

authentication rsa-sig

tunnel-group <tunnel_group_name> ipsec-attributes

trust-point <trustpoint_name>

IKEv2 VPN（リモート アクセスおよび LAN-to-LAN）

証明書ベースの認証を使用

crypto ikev2 enable <interface_name>

tunnel-group <tunnel_group_name> ipsec-attributes

ikev2 remote-authentication certificate

ikev2 local-authentication certificate <trustpoint_name>

ローカル認証局（CA）

crypto ca server

no shutdown

Mobile Device Manager（MDM）プロキシ

mdm-proxy

enable <interface_name>

モバイル ユーザ セキュリティ（MUS）

webvpn

mus password <password>

mus server enable port <port #>

mus <address> <mask> <interface_name>

Proxy Bypass

webvpn

proxy-bypass

REST API^1

rest-api image disk0:/<image name>

rest-api agent

SSH アクセス^2

ssh <remote_ip_address> <remote_subnet_mask> <interface_name>

1 ASDM、CSM、および REST API サービスは、 http コマンドで設定された範囲の IP アドレスからのみアクセスできます。

2 SSH サービスは、 ssh コマンドで設定された範囲の IP アドレスからのみアクセスできます。

FTD ソフトウェア

次の表の左側の列に、脆弱な可能性のある Cisco FTD 機能を示します。また右の列には、show running-config CLI コマンドで判断可能な、この機能の基本設定を示します。

Cisco FTD 機能

脆弱性の可能性がある設定

AnyConnect SSL VPN1、2

webvpn

enable <interface_name>

クライアントレス SSL VPN（WebVPN）2

webvpn

enable <interface_name>

HTTP サービスが有効3、4

http server enable <port #>

http <remote_ip_address> <remote_subnet_mask> <interface_name>

IKEv1 VPN（リモート アクセスおよび LAN-to-LAN）

証明書ベースの認証を使用 1、2

crypto ikev1 enable <interface_name>

crypto ikev1 policy <priority>

authentication rsa-sig

tunnel-group <tunnel_group_name> ipsec-attributes

trust-point <trustpoint_name>

IKEv2 VPN（リモート アクセスおよび LAN-to-LAN）

証明書ベースの認証を使用 1、2

crypto ikev2 enable <interface_name>

tunnel-group <tunnel_group_name> ipsec-attributes

ikev2 remote-authentication certificate

ikev2 local-authentication certificate <trustpoint_name>

SSH サービス^5

ssh <remote_ip_address> <remote_subnet_mask> <interface_name>

1 リモート アクセス VPN 機能は、Cisco FMC の [デバイス（Devices）] > [VPN] > [リモートアクセス（Remote Access）]、または Cisco Firepower Device Manager（FDM）の [デバイス（Devices）] > [リモートアクセスVPN（Remote Access VPN）] から有効にします。

2 クライアントレス SSL VPN 機能は正式にはサポートされていませんが、FlexConfig で有効にできます。

3 HTTP 機能は、Cisco Firepower Management Console（FMC）の [Firepower Threat Defenseプラットフォーム設定（Firepower Threat Defense Platform Settings）] > [HTTP] から有効にします。

4 HTTP サービスは、 http コマンドで設定された範囲の IP アドレスからのみアクセスできます。

5 SSH は、 ssh コマンドで設定された範囲の IP アドレスからのみアクセスできます。

Cisco ASA ソフトウェア リリースの判別

デバイス上で実行されている Cisco ASA ソフトウェア リリースは、管理者がデバイスにログインして CLI で show version | include Versionコマンドを使用して、コマンドの出力を参照します。デバイスが Cisco ASA ソフトウェア リリース 9.9.2.18 を実行している場合、コマンドの出力は次の例のようになります。

ciscoasa# show version | include Version

Cisco Adaptive Security Appliance Software Version 9.9.2.18

Device Manager Version 7.4(1)

.

.

.

デバイスが Cisco Adaptive Security Device Manager（ASDM）を使用して管理されている場合、管理者は Cisco ASDM ログイン ウィンドウまたは [Cisco ASDM ホーム（Cisco ASDM Home）] ペインの [デバイス ダッシュボード（Device Dashboard）] タブに表示される表のリリース情報を参照して、デバイスで実行中のリリースを確認することもできます。

Cisco FTD ソフトウェア リリースの判別

デバイスで実行中の Cisco FTD ソフトウェア リリースを確認するために、管理者はデバイスにログインし、CLI で show version コマンドを使用してコマンドの出力を参照できます。デバイスが Cisco FTD ソフトウェア リリース 6.2.0 を実行している場合、コマンドの出力例は次のようになります。

> show version

---------------------[ ftd ]---------------------

Model : Cisco ASA5525-X Threat Defense (75) Version 6.2.0 (Build 362)

UUID : 2849ba3c-ecb8-11e6-98ca-b9fc2975893c

Rules update version : 2017-03-15-001-vrt

VDB version : 279

----------------------------------------------------

脆弱性を含んでいないことが確認された製品

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この脆弱性の影響を受けることが分かっています。

シスコは、この脆弱性が次のプラットフォームで実行される Cisco ASA ソフトウェアまたは FTD ソフトウェアに影響を与えないことを確認しました。

- ASA 1000V クラウド ファイアウォール

- ASA 5505 適応型セキュリティ アプライアンス 1

- Cisco Catalyst 6500 シリーズ スイッチおよび Cisco 7600 シリーズ ルータ用の ASA サービス モジュール

- Firepower 2100 シリーズ

1 ASA 5505 以外の ASA 5500 シリーズ適応型セキュリティ アプライアンスはサポートを終了したため、今後セキュリティ脆弱性に関する評価は行われません。

回避策

管理者が Cisco ASA または FTD デバイス以外の信頼されているデバイスでキー ペアとそれに対応する証明書を生成し、グローバル設定モードで crypto ca import <trust-point-name> pkcs12 <passphrase> コマンドを使用してキーと証明書を含む Base 64 でエンコードされた PKCS #12 ファイルを Cisco ASA または FTD デバイスにインポートすることにより、脆弱性が存在する可能性がある暗号キーの使用を回避できます。

詳細については、『ASA 8.x:ASDMを使用したSSL証明書の更新とインストール』テクニカルノートを参照してください。このタスクをCisco Adaptive Security Device Manager(ASDM)を使用して実行する手順も含まれています。

修正済みソフトウェア

シスコはこのアドバイザリに記載された脆弱性に対処する無償のソフトウェアアップデートをリリースしています。お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットに対してのみとなります。そのようなソフトウェアアップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は以下のリンクに記載されたシスコのソフトウェアライセンスの条項に従うことに同意したことになります。

https://www.cisco.com/c/en/us/products/end-user-license-agreement.html

また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシスコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

ソフトウェアのアップグレードを検討する際には、[シスコのセキュリティアドバイザリおよびアラート（Cisco Security Advisories and Alerts）] ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

サービス契約をご利用でないお客様

シスコから直接購入したが Cisco Service Contract をご利用いただいていない場合、また、サードパーティベンダーから購入したが修正済みソフトウェアを POS から入手できない場合は、Cisco TAC に連絡してアップグレードを入手してください。

https://www.cisco.com/c/en/us/support/web/tsd-cisco-worldwide-contacts.html

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

修正済みリリース

この項の該当する表に示すように、適切なリリースにアップグレードすることをお勧めします。本アドバイザリは以下のアドバイザリを含むコレクションの一部です。お客様におかれましては、これらも考慮したうえでアップグレード ソリューション全体をご確認ください。

- cisco-sa-20190501-asa-csrf:Cisco適応型セキュリティアプライアンスソフトウェアのクロスサイトリクエストフォージェリの脆弱性

- cisco-sa-20190501-asa-frpwrtd-dos:Cisco適応型セキュリティアプライアンスソフトウェアおよびCisco Firepower Threat DefenseソフトウェアのTCPタイマー処理におけるDoS脆弱性

- cisco-sa-20190501-asa-ftd-dos:Cisco適応型セキュリティアプライアンスソフトウェアおよびFirepower Threat Defense(FTD)ソフトウェアのWebVPNにおけるDoS脆弱性

- cisco-sa-20190501-asa-ftd-entropy:Cisco適応型セキュリティアプライアンスソフトウェアおよびFirepower Threat Defense(FTD)ソフトウェアの低エントロピーキーの脆弱性

- cisco-sa-20190501-asa-ftd-ike-dos:Cisco適応型セキュリティアプライアンスソフトウェアおよびCisco Firepower Threat Defense(FTD)ソフトウェアのMOBIKEにおけるサービス妨害の脆弱性

- cisco-sa-20190501-asaftd-saml-vpn:Cisco Adaptive Security Appliance(ASA)ソフトウェアおよびFirepower Threat Defense(FTD)ソフトウェアのVPNにおけるSAML認証バイパスの脆弱性

- cisco-sa-20190501-asa-ipsec-dos:Cisco適応型セキュリティアプライアンスソフトウェアのIPsecにおけるDoS脆弱性

- cisco-sa-20190501-firepower-dos:Cisco Firepower Threat DefenseソフトウェアのTCP入力ハンドラにおけるDoS脆弱性

- cisco-sa-20190501-frpwr-dos:Cisco Firepower Threat Defenseソフトウェアのパケット処理におけるDoS脆弱性

- cisco-sa-20190501-frpwr-smb-snort:Cisco Firepower Threat DefenseソフトウェアのSMBプロトコルプリプロセッサ検出エンジンにおけるDoS脆弱性

- cisco-sa-20190501-sd-cpu-dos:Cisco適応型セキュリティアプライアンスソフトウェアおよびFirepower Threat Defense(FTD)ソフトウェアのWebVPNにおけるサービス妨害の脆弱性

次の表では、左の列にシスコソフトウェアのリリースを記載しています。中央の列には、リリースがこのアドバイザリに記載されている脆弱性の影響を受けるかどうか、およびこの脆弱性に対する修正を含むリリースを示しています。右の列は、リリースがこのアドバイザリ集に記載された何らかの脆弱性に該当するかどうか、および、それらすべての脆弱性に対する修正を含む最初のリリースを示しています。

注：修正済みリリースにアップグレードした後、管理者は、脆弱性のあるリリースの実行中に該当デバイスで生成されたすべてのRSAおよびECDSAキーペアを再生成する必要があります。

Cisco ASA ソフトウェア

Cisco ASA ソフトウェア リリース

この脆弱性のための推奨リリース

このアドバイザリ集で説明している脆弱性すべてに対する推奨リリース

9.4 より前^1

脆弱性なし

9.4.4.34

9.4

脆弱性なし

9.4.4.34

9.51

脆弱性なし

9.6.4.25

9.6

脆弱性なし

9.6.4.25

9.7^1

脆弱性なし

9.8.4

9.8

9.8.4

9.8.4

9.9

9.9.2.50

9.9.2.50

9.10

脆弱性なし

9.10.1.17

9.12

脆弱性なし

脆弱性なし

1 Cisco ASA ソフトウェアの 9.4 より前のリリース、Cisco ASA ソフトウェア リリース 9.5、および 9.7 については、メンテナンスが終了しています。この脆弱性に対する修正を含むサポート対象リリースに移行することをお勧めします。

Cisco FTD ソフトウェア

Cisco FTD ソフトウェア リリース

この脆弱性のための推奨リリース

このアドバイザリ集で説明している脆弱性すべてに対する推奨リリース

6.0

脆弱性なし

6.2.3.12

6.0.1

脆弱性なし

6.2.3.12

6.1.0

脆弱性なし

6.2.3.12

6.2.0

脆弱性なし

6.2.3.12

6.2.1

6.2.3.12

6.2.3.12

6.2.2

6.2.3.12

6.2.3.12

6.2.3

6.2.3.12

6.2.3.12

6.3.0

6.3.0.3

6.3.0.3

6.4.0

脆弱性なし

脆弱性なし

Cisco FTD ソフトウェアの修正済みリリースにアップグレードするには、次のいずれかの操作を行います。

- Cisco Firepower Management Center（FMC）を使用して管理しているデバイスについては、FMC インターフェイスを使用してアップグレードをインストールします。インストールが完了したら、アクセス コントロール ポリシーを再適用します。

- Cisco Firepower Device Manager（FDM）を使用して管理しているデバイスについては、FDM インターフェイスを使用してアップグレードをインストールします。インストールが完了したら、アクセス コントロール ポリシーを再適用します。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

出典

この脆弱性を報告していただいた Microsoft 社の Greg Zaverucha 氏に感謝いたします。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190501-asa-ftd-entropy

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.1

FTD ソフトウェア リリース 6.3.0.3 が使用可能になったことを示すために FTD の修正済みリリースの表を更新。

修正済みソフトウェア

Final

2019 年 5 月 2 日

1.0

初回公開リリース

-

Final

2019 年 5 月 1 日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。