High

アドバイザリーID : cisco-sa-wpa-dos-cXshjerc

初公開日 : 2020-09-24 16:00

バージョン 1.0 : Final

CVSSスコア : 7.4

回避策 : No workarounds available

Cisco バグ ID : CSCvr69019

CVE-2020-3429

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Catalyst 9000 ファミリ向け Cisco IOS XE ワイヤレス コントローラ ソフトウェアにセキュリティ上実装された WPA2 および WPA3 の脆弱性により、隣接環境の攻撃者が、該当デバイスでサービス妨害（DoS）状態を引き起こす可能性があります。

この脆弱性は、dot1x または事前共有キー（PSK）の認証キー管理（AKM）が設定され、802.11r BSS Fast Transition（FT）が有効になっている場合に、WPA2 と WPA3 の認証ハンドシェイクで使用されるパケットを正しく処理できないことが原因で発生します。細工された認証パケットが該当デバイスに送信されると、この脆弱性が不正利用される可能性があります。不正利用が成功すると、該当デバイスのリロードが引き起こされ、DoS 状態が発生する可能性があります。

シスコはこの脆弱性に対処するソフトウェア アップデートをリリースしました。この脆弱性に対処する回避策はありません。

注：この脆弱性の不正利用には、WLAN にアクセス可能な、dot1x AKM または PSK AKM の有効なクレデンシャルが必要です。

このアドバイザリは、次のリンクより確認できます。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-wpa-dos-cXshjerc

This advisory is part of the September 24, 2020, release of the Cisco IOS and IOS XE Software Security Advisory Bundled Publication, which includes 25 Cisco Security Advisories that describe 34 vulnerabilities.これらのアドバイザリとリンクの一覧については、以下を参照してください。シスコのイベント対応：Cisco IOS および IOS XE ソフトウェアに関するセキュリティ アドバイザリ公開資料（半年刊、2020 年 9 月）

該当製品

脆弱性のある製品

この脆弱性は、脆弱なソフトウェアリリースを実行し、dot1x または PSK の AKM が設定され、WLAN 内で FT 機能が有効になっている Cisco Catalyst 9000 ファミリの Cisco IOS XE ワイヤレス コントローラ ソフトウェアに影響を及ぼします。次のハードウェア プラットフォームには脆弱性が存在します。

- Catalyst 9800、9300、9400 シリーズ スイッチ用 Catalyst 9500 組み込みワイヤレスコントローラ

- Catalyst 9800 シリーズ ワイヤレス コントローラ

脆弱性が存在する Cisco ソフトウェアリリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。

デバイス設定の確認

デバイスに脆弱な設定があるかどうかを確認するには、デバイスにログインし、show running-config all CLI コマンドを実行します。一部の設定要素はデフォルトであり、all パラメータがないと表示されません。

脆弱な AKM 設定については、次の要素のいずれかが設定されているかどうかを確認します。

- dot1x AKM を使用している WLAN には、security wpa akm dot1x または security wpa akm ft dot1x が設定されています。

- PSK AKM を使用している WLAN には、security wpa akm psk または security wpa akm ft psk が設定されています。

脆弱な AKM が設定された WLAN 内で FT が有効になっているかどうかを確認するには、次のいずれかの要素が存在するかどうかを確認します。

- security ft

- security ft Adaptive

次に、脆弱な設定の例を示します。

Dot1x

Dot1x with Adaptive 11r WLAN:

wlan dot1x 1 dot1x

security ft adaptive

security wpa akm dot1x

security dot1x authentication-list eap_methods

no shutdown

11r-dot1x WLAN:

wlan 11r-dot1x 2 11r-dot1x

security ft

security wpa akm ft dot1x

security dot1x authentication-list eap_methods

no shutdown

PSK

PSK with Adaptive 11r WLAN:

wlan psk 3 psk

security ft adaptive

security wpa psk set-key ascii 0 cisco123

no security wpa akm dot1x

security wpa akm psk

no shutdown

11r-PSK WLAN:

wlan 11r-psk 4 11r-psk

security ft

security wpa psk set-key ascii 0 cisco123

no security wpa akm dot1x

security wpa akm ft psk

no shutdown

脆弱性を含んでいないことが確認された製品

このアドバイザリの脆弱性のある製品セクションにリストされている製品だけがこの脆弱性の影響を受けることが知られています。

シスコは、この脆弱性が以下のシスコ製品には影響を与えないことを確認しました。

- Catalyst 9100 アクセスポイント上の組み込みワイヤレスコントローラ

- IOS ソフトウェア

- IOS XR ソフトウェア

- NX-OS ソフトウェア

- WLC ソフトウェア

回避策

この脆弱性に対処する回避策はありません。

ただし、緩和策として、802.11r Fast Transition（FT）機能を無効にすることができます。no security ft または no security ft adaptive コマンドを実行すると、この機能が無効になり、この不正利用を防止できます。次に、dot1x の例を示します。

注：この設定を変更する前に、WLAN がシャットダウン状態であることを確認します。

11r-dot1x WLAN:

wlan 11r-dot1x 2 11r-dot1x

no security ft

security wpa akm ft dot1x

security dot1x authentication-list eap_methods

no shutdown

Dot1x with Adaptive 11r WLAN:

wlan dot1x 1 dot1x

no security ft adaptive

security wpa akm dot1x

security dot1x authentication-list eap_methods

no shutdown

修正済みソフトウェア

シスコでは、このアドバイザリに記載された脆弱性に対処する無償のソフトウェア アップデートを提供しています。お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットに対してのみとなります。そのようなソフトウェア アップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は以下のリンクに記載されたシスコのソフトウェア ライセンスの条項に従うことに同意したことになります。

https://www.cisco.com/c/en/us/products/end-user-license-agreement.html

また、お客様がソフトウェアをダウンロードできるのは、シスコから直接、あるいはシスコ認定リセラーまたはパートナーからそのソフトウェアの有効なライセンスを取得している場合に限ります。通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

ソフトウェアのアップグレードを検討する際には、シスコ セキュリティ アドバイザリ ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成は新規リリースでも継続して適切なサポートが受けられることを確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

サービス契約をご利用でないお客様

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティ ベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco TAC に連絡してアップグレードを入手してください。https://www.cisco.com/c/en/us/support/web/tsd-cisco-worldwide-contacts.html

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

Cisco IOS および IOS XE ソフトウェア

Cisco IOS ソフトウェアおよび IOS XE ソフトウェアの脆弱性に対するリスクをお客様が判断できるように、シスコでは Cisco Software Checker を提供しています。このツールにより、特定のソフトウェアリリースに影響を及ぼすシスコ セキュリティ アドバイザリ、および各アドバイザリで説明されている脆弱性が修正された最初のリリース（「First Fixed」）を特定できます。 また該当する場合、すべてのアドバイザリに記載されたすべての脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。

お客様は、Cisco Software Checker を使用して次の方法でアドバイザリを検索できます。

- ソフトウェアと 1 つ以上のリリースを選択します。

- 特定のリリースのリストを含む .txt ファイルをアップロードする

- show version コマンドの出力を入力する

検索を開始した後で、すべてのシスコ セキュリティ アドバイザリ、特定のアドバイザリ、または最新の公開資料に記載されているすべてのアドバイザリが含まれるように検索をカスタマイズできます。

Customers can also use the following form to determine whether a release is affected by any Cisco Security Advisory by entering a Cisco IOS or IOS XE Software release—for example, 15.1(4)M2 or 3.13.8S:

デフォルトでは、Cisco Software Checker の結果には、Security Impact Rating（SIR）が「重大」または「高」の脆弱性だけが含まれます。 「中間」の SIR 脆弱性の結果を含めるには、Cisco.com にある Cisco Software Checker を使用して、検索をカスタマイズするときに [影響の評価（Impact Rating）] の下にあるドロップダウンリストの [中間（Medium）] チェックボックスをオンにします。

Cisco IOS XE ソフトウェア リリースと Cisco IOS ソフトウェア リリースのマッピングについては、Cisco IOS XE ソフトウェアのリリースに応じて「Cisco IOS XE 2 Release Notes」、「Cisco IOS XE 3S Release Notes」、または「Cisco IOS XE 3SG Release Notes」を参照してください。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例やその公表を確認していません。

出典

この脆弱性は、Cisco TAC のサポート ケースの解決中に発見されました。

URL

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-wpa-dos-cXshjerc

改訂履歴

バージョン

説明

セクション

ステータス

Date

1.0

初回公開リリース

—

最終版

2020-SEP-24

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。