日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
このアドバイザリでは、Cisco PIX Firewallに関する2つの脆弱性について説明しています。これらの脆弱性は、CSCeb20276(SNMPv3)およびCSCec20244(VPNC)として文書化されています。
CSCeb20276(SNMPv3)の影響を緩和する回避策があります。CSCec20244(VPNC)の回避策はありません。
このアドバイザリは https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-pix に掲載されています。
該当製品
このセクションには、該当製品に関する詳細が掲載されています。
脆弱性のある製品
次に示すように、該当するCisco PIXファイアウォールソフトウェアが稼働しているすべてのCisco PIXファイアウォールデバイスが、これらの脆弱性の影響を受けます。
-
CSCeb20276(SNMPv3)
6.3.1、6.2.2以前、6.1.4以前。5.x.x以前。
-
CSCec20244(VPNC)
6.2(2.119) ~ 6.2.3(両方を含む)
6.3.xおよび6.2.1 ~ 6.2(2.118)は該当しません。
ファイアウォールサービスモジュール(FWSM)もSNMPv3の問題に対して脆弱であり、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20031215-fwsmに記載されています。他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。
使用しているソフトウェアリビジョンを確認するには、コマンドラインプロンプトでshow versionと入力します。
脆弱性を含んでいないことが確認された製品
他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。
詳細
このセクションでは、これらの脆弱性に関する詳細情報を提供します。
-
CSCeb20276(SNMPv3)
Cisco PIX Firewallでsnmp-server host <if_name> <ip_addr>またはsnmp-server host <if_name> <ip_addr> pollが設定されている場合、受信したSNMPv3メッセージの処理中にCisco PIX Firewallがクラッシュしてリロードします。これは、Cisco PIX FirewallがSNMPv3をサポートしていない場合でも発生します。
snmp-server host <if_name> <ip_addr> trapコマンドを使用してトラップの生成と送信のみを行うように設定されているCisco PIX Firewallには、脆弱性はありません。
-
CSCec20244(VPNC)
特定の条件下では、別のIPSecクライアントがVPN Clientに設定されたCisco PIX Firewallの外部インターフェイスに対してIKEフェーズIネゴシエーションを開始しようとすると、確立されたVPNC IPSecトンネル接続がドロップされます。
この脆弱性の影響を受けるのは、VPN Clientとして設定されているCisco PIX Firewallのみです。この不安定な状態から回復するには、PIXが設定されたVPN Clientのデバイスのリロードが必要です。ヘッドエンドVPNコンセントレータで必要なアクションはありません。
Easy VPNまたはezVPNとも呼ばれるVPNC接続は、Cisco PIXファイアウォールがVPNサーバに接続するためのVPNクライアントとして使用される場合に作成されます。IKEフェーズIネゴシエーションは、IPSecセッションを確立するための手順です。
CSCec20244では、6.2(3.100)以降のソフトウェアリリースでこの問題が解決されています。
『Internetworking Terms and Cisco Systems Acronyms』オンラインガイドは、http://www.cisco.com/univercd/cc/td/doc/cisintwk/から入手できます。
これらの脆弱性は、Bug ID CSCeb20276(SNMPv3)およびCSCec20244(VPNC)としてCisco Bug Toolkitに記載されています。このツールにアクセスするには、登録ユーザであり、ログインしている必要があります。
回避策
このセクションでは、次の脆弱性の回避策について説明します。
-
CSCeb20276(SNMPv3)
次の 2 つの回避策が適用できます。
- PIXへのSNMPポーリングが脆弱なイメージで必要な場合は、次のコマンドを使用して、SNMPサーバへのポーリングアクセスを信頼できるインターフェイスと信頼できるホストに制限できます。
snmp-server host <if_name> <ip_addr> poll
注: 上記のコマンドでpollキーワードまたはtrapキーワードが明示的に使用されていない場合、PollとTrapの両方が有効になります。上記のコマンドでは、送信元IPスプーフィングされたSNMP要求メッセージによってこの脆弱性が不正利用されることを防ぐことはできません。ソフトウェアバージョン6.0より前では、snmp-server host <if_name> <ip addr> コマンドにPollキーワードとTrapキーワードがないため、ポーリングとトラップの機能を選択的に有効にできません。
- Cisco PIXファイアウォールで次のようにSNMPサーバを無効にします。
clear snmp-server(SNMPサーバのクリア)
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
注: Cisco PIXファイアウォールでは、コミュニティストリングを完全に削除することはできません。常にpublicまたはユーザ設定文字列になります。show snmpを実行してもsnmp-server community publicが表示されますが、これはSNMPが有効であることを意味するものではありません。
詳細については、http://www.cisco.com/en/US/docs/security/pix/pix62/command/reference/s.html#wp1026423を参照してください。
-
CSCec20244(VPNC)
回避策はありません。アップグレードしてください。
Cisco PSIRT では、該当ユーザが修正済みソフトウェア バージョンのコードにアップグレードすることを推奨しています。
修正済みソフトウェア
アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center(TAC)または契約を結んでいるメンテナンス プロバイダーにお問い合せください。
-
CSCeb20276(SNMPv3)
6.3.2以降、6.2.3以降、6.1.5以降。
-
CSCec20244(VPNC)
6.3.1以降、6.2(3.100)以降。
修正済みソフトウェアバージョンにアップグレードする手順の詳細については、http://www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/pix_sw/index.htmを参照してください。
推奨事項
不正利用事例と公式発表
このアドバイザリで説明されている脆弱性の公表や悪用に関する情報は Cisco PSIRT には寄せられていません。
CSCeb20276(SNMPv3)は、Rasto Rickardt氏によってPSIRTに報告されました。
URL
改訂履歴
リビジョン 1.2 |
2004年1月26日 |
リリース済みソフトウェアに影響を与えないため、CSCea28896への参照を削除。「SNMPv3の回避策」セクションに詳細なテキストを追加。 |
リビジョン 1.1 |
2003-December-17 |
SNMPサーバを無効にする回避策にclear snmp-serverコマンドを追加。「SNMPv3の詳細と回避策」セクションに説明テキストを追加。 |
リビジョン 1.0 |
2003-December-15 |
初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。