High

アドバイザリーID : cisco-sa-20080924-ssl

初公開日 : 2008-09-24 16:00

バージョン 1.1 : Final

CVSSスコア : 7.8

回避策 : No Workarounds available

Cisco バグ ID : CSCsj85065

CVE-2008-3798

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

SSLパケットの処理中にCisco IOSデバイスがクラッシュする場合があります。これは、SSLベースのセッションの終了時に発生する可能性があります。問題のパケットは不正な形式ではなく、通常はパケット交換の一部として受信されます。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。影響を受けるサービスを無効にする以外に、この脆弱性の不正利用を軽減する回避策はありません。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ssl で公開されています。

注：2008年9月24日のIOSアドバイザリバンドル公開には、12件のセキュリティアドバイザリが含まれています。11のアドバイザリはCisco IOSソフトウェアの脆弱性に対処し、1つのアドバイザリはCisco Unified Communications Managerの脆弱性に対処します。各アドバイザリには、このアドバイザリに記載されている脆弱性を修正するリリースが記載されています。

各ドキュメントへのリンクは次のとおりです。

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosips

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-sip

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-cucm

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-vpn

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-mfi

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ipc

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ubr

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-multicast

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-sccp

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosfw

- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-l2tp

該当製品

脆弱性のある製品

Cisco IOSを実行し、SSLベースのサービスを使用しているデバイスは、この脆弱性の影響を受けやすくなっています。SSLを使用するサービスには次のものがあります。

- SSL暗号化(HTTPS)をサポートするHTTPサーバ

次の例は、標準のCisco IOS HTTPサーバが無効で、SSL対応のCisco IOS HTTPサーバが有効になっているデバイスを示しています。

Router#show running-config | include ip http

no ip http server

ip http secure-server

Router#

- AnyConnect VPNとも呼ばれるSSLバーチャルプライベートネットワーク(SSL VPN)

次の例は、SSL VPN機能が有効になっているデバイスを示しています。

Router#show running-config | include webvpn

webvpn enable

webvpn

Router#

- Open Settlement Protocol(OSP)for Packet Telephony機能

次の例は、OSP機能が有効になっており、脆弱性のあるHTTPSプロトコルを使用しているデバイスを示しています。

Router#show running-config | include url

url https://

:443/

Router#

Cisco IOS Bug Toolkitには、このアドバイザリの影響を受けるリリースが正確に反映されていない場合があります。影響を受けるリリースは次のとおりです。

- 12.4(16)MR、12.4(16)MR1、12.4(16)MR2

- 12.4(17)

シスコ製品で実行されているCisco IOSソフトウェアのバージョンを確認するには、デバイスにログインし、show versionコマンドを発行してシステムバナーを表示します。Cisco IOS ソフトウェアは「Internetwork Operating System Software」または単に「IOS」と表示されます。 出力の次の行では、イメージ名がカッコで囲まれて表示され、その後に「Version」とIOSリリース名が続きます。その他の Cisco デバイスには show version コマンドがないか、異なる出力が返されます。

Router#show version

Cisco IOS Software, 1841 Software (C1841-ADVSECURITYK9-M), Version 12.4(15)T2,

RELEASE SOFTWARE (fc7)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2008 by Cisco Systems, Inc.

Compiled Thu 17-Jan-08 23:12 by prod_rel_team

Cisco IOSソフトウェアのリリース名の詳細については、http://www.cisco.com/warp/public/620/1.htmlを参照してください。

脆弱性を含んでいないことが確認された製品

他のシスコ製品およびCisco IOSリリースで、この脆弱性の影響を受けるものは現在確認されていません。

詳細

この脆弱性は、SSLセッションの終了中にトリガーされます。ユーザ名、パスワード、証明書などの有効なクレデンシャルを所有する必要はありません。SSLプロトコルは、トランスポートプロトコルとしてTCPを使用します。完全なTCP 3ウェイハンドシェイクが必要であるため、スプーフィングされたIPアドレスを使用してこの脆弱性が悪用される可能性が低くなります。

SSLベースのサービスが設定された、脆弱性のあるCisco IOSソフトウェアを実行しているデバイスが、SSLセッションの終了中にクラッシュする。

この脆弱性は、Cisco Bug ID CSCsj85065(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2008-3798が割り当てられています。

回避策

脆弱性のあるデバイスの不正利用を防ぐには、SSLベースのサービスを無効にする必要があります。ただし、デバイスの定期的なメンテナンスと操作がこのサービスに依存している場合は、回避策はありません。

次のコマンドは、脆弱なHTTPSサービスを無効にします。

Router(config)#no ip http secure-server

次のコマンドは、脆弱なSSL VPNサービスを無効にします。

Router(config)#no webvpn enable

次のコマンドは、脆弱なOSPサービスを無効にします。

Router(config)#no settlement

もう1つのオプションは、HTTPSを使用する代わりにHTTPプロトコルに戻すことです。この回避策の欠点は、決済情報が保護されていないネットワーク経由で送信されることです。

不正なホストによる該当デバイスへのアクセスを防止することで、この脆弱性を軽減できます。

コントロール プレーン ポリシング（CoPP）

コントロールプレーンポリシング(CoPP)をサポートするCisco IOSソフトウェアバージョンは、管理プレーンとコントロールプレーンを標的とする攻撃からデバイスを保護するように設定できます。CoPP は、Cisco IOS リリース トレイン 12.0S、12.2SX、12.2S、12.3T、12.4、および 12.4T で使用できます。

次のCoPPの例では、permitアクションを含むエクスプロイトパケットと一致するACLエントリはpolicy-map drop機能によって廃棄されますが、denyアクション（図には示されていません）と一致するパケットはpolicy-map drop機能の影響を受けません。

!-- Include deny statements up front for any protocols/ports/IP addresses that

!-- should not be impacted by CoPP

!-- Include permit statements for the protocols/ports that will be

!-- governed by CoPPaccess-list 100 permit tcp any any eq 443

!-- Permit (Police or Drop)/Deny (Allow) all other Layer3 and Layer4

!-- traffic in accordance with existing security policies and

!-- configurations for traffic that is authorized to be sent

!-- to infrastructure devices.

!

!-- Create a Class-Map for traffic to be policed by

!-- the CoPP feature.

!

class-map match-all drop-SSL-class match access-group 100

!

!-- Create a Policy-Map that will be applied to the

!-- Control-Plane of the device.

!

policy-map drop-SSL-policy class drop-SSL-class   drop

!-- Apply the Policy-Map to the Control-Plane of the

!-- device.

!

control-plane service-policy input drop-SSL-policy

注：前述のCoPPの例では、permitアクションを含み、悪用パケットと一致するACLエントリでは、policy-map drop機能によってそれらのパケットが廃棄されますが、denyアクションと一致するパケットはpolicy-map drop機能の影響を受けません。

CoPP機能の設定と使用方法の詳細については、http://www.cisco.com/en/US/prod/collateral/iosswrel/ps6537/ps6586/ps6642/prod_white_paper0900aecd804fa16a.htmlおよびhttp://www.cisco.com/en/US/docs/ios/12_3t/12_3t4/feature/guide/gtrtlimt.htmlを参照してください。

Access Control List（ACL; アクセス コントロール リスト）

アクセスコントロールリスト(ACL)を使用すると、この脆弱性を標的とした攻撃を軽減できます。ACL では、正規の送信元からのパケットのみがデバイスに到達でき、他のすべてのパケットは廃棄されるように指定できます。次の例は、信頼できる送信元からの正規の SSL セッションを許可し、他のすべての SSL セッションを拒否する方法を示しています。

access-list 101 permit tcp host <legitimate_host_IP_address> host

<router_IP_address> eq 443

access-list 101 deny tcp any any eq 443

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、Cisco IOS のリリース トレインが記載されています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（および、それぞれの予想提供日）が表の「第 1 修正済みリリース」列に記載されます。「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。

メジャー リリース

修正済みリリースの入手可能性

Affected 12.0-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

該当する 12.0 ベースのリリースはありません。

Affected 12.1-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

該当する 12.1 ベースのリリースはありません。

Affected 12.2-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

影響を受ける 12.2 ベースのリリースはありません。

Affected 12.3-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

該当する 12.3 ベースのリリースはありません。

Affected 12.4-Based Releases

First Fixed Release（修正された最初のリリース）

推奨リリース

12.4

12.4(17a)

12.4(18)

12.4(18c)

12.4JA

脆弱性なし

12.4JK

脆弱性なし

12.4JL

脆弱性なし

12.4JMA

脆弱性なし

12.4JMB

脆弱性なし

12.4JMC

脆弱性なし

12.4JX

脆弱性なし

12.4MD

脆弱性なし

12.4MR

12.4(19)MR

12.4(19)MR

12.4SW

脆弱性なし

12.4T

脆弱性なし

12.4XA

脆弱性なし

12.4XB

脆弱性なし

12.4XC

脆弱性なし

12.4XD

脆弱性なし

12.4XE

脆弱性なし

12.4XF

脆弱性なし

12.4XG

脆弱性なし

12.4XJ

脆弱性なし

12.4XK

脆弱性なし

12.4XL

脆弱性なし

12.4XM

脆弱性なし

12.4XN

脆弱性なし

12.4XP

脆弱性なし

12.4XQ

脆弱性なし

12.4XT

脆弱性なし

12.4XV

脆弱性なし

12.4XW

脆弱性なし

12.4XY

脆弱性なし

12.4XZ

脆弱性なし

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ssl

改訂履歴

リビジョン 1.1

2009年4月16日

結合されたソフトウェアテーブルへの参照が古くなったため、削除されました。

リビジョン 1.0

2008年9月24日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。