Informational

アドバイザリーID : cisco-sa-racerts-WvuYpxew

初公開日 : 2020-07-31 16:00

最終更新日 : 2020-07-31 22:35

バージョン 1.1 : Final

回避策 : Yes

Cisco バグ ID : CSCvv11100 CSCvt50528 CSCvv11051

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco適応型セキュリティアプライアンス(ASA)ソフトウェアおよびCisco Firepower Threat Defense(FTD)ソフトウェアは、リモートアクセスVPN展開での証明書認証に設定できます。

外部の研究者が、VPNエンドポイントが同じパブリックCAからサーバID証明書を発行するように設定されている場合、ASA/FTDデバイスが有効な証明書を持つユーザにVPNリモートアクセスを許可するCisco ASAおよびFTDソフトウェアリモートアクセスデバイスをを発見しました。

シスコは、Cisco ASAとFTDソフトウェアがインポートされた証明書のトラストポイントにデフォルト設定を適用する方法、およびトラストポイントが目的の機能だけに設定される方法について、お客様の認識を高めたいと考えています。

Cisco ASAまたはFTDソフトウェアの脆弱性やデジタル証明書認証機能は考慮されませんが、設定に問題があります。

Cisco Adaptive Security Device Manager(ASDM)、Cisco Security Manager、Cisco Firepower Management Center(FMC)など、Cisco ASAおよびFTDソフトウェアの今後のリリースでは、証明書をインポートする際に警告アラートが発生し、デフォルト動作を通知し、Cisco Bug ID CSCCSCCSCCSCvt555 0528、CSCv11100、およびCSCv11051。

ただし、これらのCisco Bug IDと統合されたコードを実行して適切な強化処理を行う必要はありません。このアドバイザリを確認し、それぞれの設定を変更することをお勧めします。

詳細

この情報アドバイザリの対象読者は、リモートアクセスVPNエンドポイントとしてCisco ASA/FTDデバイスを導入し、クライアントベースの証明書認証を実行しているお客様です。

新しい証明書が設定にインポートされると、トラストポイントの使用のデフォルト設定はipsec-clientとssl-clientの検証に使用されるため、デフォルトではトラストポイントを使用してVPNユーザを認証できます。トラストポイントの使用目的がサーバID証明書のみであり、対応する認証局の信頼をVPN検証に使用しない場合、ASA/FTD管理者はvalidation-usageコマンドを使用してそのようにデバイスを設定する必要があります。

設定を変更せずに、クライアント証明書認証を他の認証および許可方式なしで使用すると、ASA/FTDデバイスのID証明書と同じ認証局によって発行される任意のユーザID証明書を使用して認証できる場合があります。追加の認証と認可を使用するインストールでは、ネットワークへのアクセスを許可する前に追加の手順を通過させないまたは通過させる必要があります。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例やその公表を確認していません。

出典

この問題を報告していただいたCenturyLinkのMike Guy氏に感謝いたします。

URL

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-racerts-WvuYpxew

改訂履歴

バージョン

説明

セクション

ステータス

Date

1.1

外部電子メール通知の再発行

—

最終版

2020年7月31日

1.0

初回公開リリース

—

最終版

2020年7月31日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。