Informational

アドバイザリーID : cisco-sa-meraki-config-Ab3Da

初公開日 : 2022-09-07 16:00

バージョン 1.0 : Final

回避策 : No workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Meraki MRシリーズデバイスのスプラッシュページ機能（キャプティブポータルとも呼ばれる）の設定オプションを使用すると、管理者は、ネットワークに接続しているクライアントにトラフィックポリシーが適用されない802.11 WLANを設定できます。

安全でない設定は、管理者がスプラッシュページアクセス制御を使用してWLANを設定し、[Captive Portal strength] が[Allow non-HTTP traffic prior to sign-on] に設定されている場合に判別されます。

この設定は、ワイヤレスクライアントがスプラッシュページと対話する前に接続を提供することを目的としていますが、トラフィックポリシーはサインオンが完了した後にのみ適用されます。悪意のあるユーザは、この安全でない設定を利用して、ファイアウォールルール、コンテンツフィルタリング、影響を受けるWLAN内のトラフィックを制限するように設定されたトラフィックシェーピングなどのネットワークポリシーを回避する可能性があります。

Cisco Merakiでは、Cisco Meraki MRソフトウェアまたはスプラッシュページ機能の脆弱性とはみなされません。これは設定の問題と見なされます。

Cisco Merakiでは、より強固なネットワークセキュリティを実現するために、このアドバイザリの「推奨事項」セクションのガイダンスに従って適切な設定変更を行うことを推奨しています。

注：このオプションは、2020年12月4日以降にCisco Merakiクラウド管理インターフェイス（ダッシュボードとも呼ばれる）を使用して作成されたWLANでは、デフォルトで無効になっています。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-meraki-config-Ab3Da

脆弱性のある製品

この問題は、Cisco Meraki MRシリーズデバイスがアクセス制御にスプラッシュページを使用するWLANで設定されており、かつキャプティブポータルの強度が[Allow non-HTTP traffic prior before sign-on] に設定されている場合に、発行時に影響を受けました。

デバイスが該当するかどうかを確認する

デバイスがこのアドバイザリで説明されている問題の影響を受けるかどうかを確認するには、次の手順に従います。

ステップ1：スプラッシュページが設定されているかどうかを確認する

1. [Dashboard] にログインします。

2. Combinedビューで、Wireless > Configure > Access controlの順に選択します。

3. [SSID] ドロップダウンメニューから適切なWLANを選択します。

4. [Splash Page] セクションを見つけて展開します。

[Splash Page type] が[None (direct access)] 以外の値に設定されている場合、WLANはアクセス制御にスプラッシュページを使用するように設定されています。ステップ 2 に進みます。

[Splash Page type] が[None (direct access)] に設定されている場合、または[Advanced splash settings] セクションを展開できない場合、WLANはアクセス制御にスプラッシュページを使用するように設定されていないため、このアドバイザリに記載された問題の影響を受けません。

ステップ2：キャプティブポータルの強度設定を決定する

1. [Splash Page] セクションで、[Advanced splash settings] をクリックして[Configuration] セクションを展開します。

2. [Captive portal strength]ドロップダウンメニューを見つけます。

[Captive portal strength] が[Allow non-HTTP traffic prior to sign-on] に設定されている場合、WLANはこのアドバイザリで説明されているinsecure設定オプションで設定されます。

キャプティブポータルの強度が[Block all access until sign-on is complete] に設定されている場合、WLANは安全でない設定オプションで設定されていないため、このアドバイザリで説明されている問題の影響を受けません。

Cisco Meraki MRデバイスでは、使用するWLANごとに個別のスプラッシュページを設定できます。各スプラッシュページには、特定のキャプティブポータルの強度設定があります。Cisco Merakiでは、このアドバイザリの「推奨事項」セクションに記載されているように、デバイスで有効になっている各WLANの設定を確認することを推奨しています。

詳細

この情報アドバイザリの対象者は、アクセス制御にスプラッシュページを使用してWLANネットワークを導入したお客様です。

Cisco MerakiスプラッシュページはWebベースのアクセス制御機能で、フルネットワークアクセスを取得する前にHTMLページを表示して操作する必要があります。クライアントがスプラッシュページを操作する前に持っているネットワークアクセスの範囲は、キャプティブポータルの強度設定によって制限されます。キャプティブポータルの強度が[Allow non-HTTP traffic prior to sign-on] に設定されている場合、無線クライアントがスプラッシュページと対話する前に、ネットワーク接続が無線クライアントに提供されます。ただし、TCPポート80を宛先とするトラフィックは例外です。

Cisco Meraki MRシリーズデバイスでは、スプラッシュページが設定されている場合、キャプティブポータルの強度設定が、設定されているトラフィックシェーピング、コンテンツフィルタリング、およびファイアウォールルールよりも優先されます。ユーザ定義のWLANトラフィックポリシーは、サインオンの完了後に適用されます。

Cisco Merakiスプラッシュページの詳細については、「スプラッシュページ」を参照してください。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-meraki-config-Ab3Da

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.0

初回公開リリース

-

Final

2022 年 9 月 7 日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。