Cisco ASA 5500シリーズ適応型セキュリティアプライアンスおよびCisco Catalyst 6500シリーズASAサービスモジュールの複数の脆弱性

• DHCPメモリ割り当てのDoS脆弱性
• SSL VPN認証のDoS脆弱性
• SIPインスペクションメディアアップデートのDoS脆弱性
• DCERPCインスペクションバッファオーバーフローの脆弱性
• DCERPCインスペクションに関するDoS脆弱性2件

これらの脆弱性は互いに独立しています。いずれかの脆弱性の影響を受けるリリースが、他の脆弱性の影響を受けることはありません。

これらの脆弱性のいずれかが不正利用されると、認証されていないリモートの攻撃者によって該当デバイスのリロードが引き起こされる可能性があります。DCERPCインスペクションバッファオーバーフローの脆弱性が不正利用されると、さらにスタックオーバーフローが引き起こされ、任意のコマンドが実行される可能性があります。

DHCP とは、サブネット マスク付きの IP アドレス、デフォルト ゲートウェイ、DNS サーバ、WINS サーバの IP アドレスなどの設定パラメータを自動的にホストに付与するためのプロトコルです。

Cisco ASAソフトウェアは、DHCPサーバまたはDHCPクライアントとして動作できます。サーバとして動作する場合、Cisco ASAソフトウェアはネットワーク設定パラメータを直接DHCPクライアントに提供します。

Dynamic Host Configuration Protocol(DHCP)サーバの機能の実装には、認証されていないリモートの攻撃者によって該当デバイスのリロードが引き起こされる脆弱性が存在します。この脆弱性は、巧妙に細工されたDHCPパケットを受信したときに、内部DHCPデータ構造にメモリを割り当てられないことに起因します。攻撃者は、巧妙に細工された一連のDHCPパケットを該当システムに送信することで、この脆弱性を不正利用する可能性があります

注：この脆弱性は、通過トラフィックと該当デバイス宛てのトラフィックの両方によって引き起こされる可能性があります。この脆弱性は、シングルコンテキストモードとマルチコンテキストモードの両方において、ルーテッドファイアウォールモードとトランスペアレントファイアウォールモードの両方に影響します。この脆弱性は、IPv4トラフィックによってのみ引き起こされます。

• クライアントレスSSL VPNは、WebブラウザとJavaコンポーネントを介して、電子メールなどのWebアプリケーションや企業ポータルへのアクセスを提供します。クライアントソフトウェアは必要ありません。
• AnyConnect SSL VPNクライアント。

この脆弱性は、クライアントレスSSL VPNまたはAnyConnect SSL VPN用に設定されたCisco ASAソフトウェアに影響を与えます。IPsec VPNサーバ、IPSEC/L2TP VPNサーバ、またはIKEv2 AnyConnectサーバとして設定されたCisco ASAソフトウェアは影響を受けません。

インターネット技術特別調査委員会(IETF)によって定義されたセッション開始プロトコル(SIP)は、コール処理セッション、特に二者間の音声会議を可能にします。SIPは、コールシグナリングのためにSession Description Protocol(SDP)と連携します。SDPはメディアストリームのポートを指定します。Cisco ASAソフトウェアは、専用のSIPインスペクションエンジンを介したメディアストリーム用のポートの動的割り当てをサポートしています。

Cisco ASAソフトウェアのSIPインスペクションエンジンコードには脆弱性が存在するため、認証されていないリモートの攻撃者によって該当デバイスのリロードが引き起こされる可能性があります。この脆弱性は、SIPメディアアップデートパケットの不適切な処理に起因します。攻撃者は、該当システムを介して巧妙に細工されたSIPパケットを送信することにより、この脆弱性を不正利用する可能性があります。この脆弱性を引き起こすパケットは、該当システムによって検査される必要がある確立されたSIP検査セッションの一部である必要があります。

注：この脆弱性は、通過トラフィックによってのみ不正利用が可能です。この脆弱性は、シングルコンテキストモードとマルチコンテキストモードの両方において、ルーテッドファイアウォールモードとトランスペアレントファイアウォールモードの両方に影響します。また、この脆弱性は、IPv4 トラフィックと IPv6 トラフィックでトリガーされる可能性があります。

次のセクションでは、このセキュリティアドバイザリに記載されている各脆弱性に対する回避策について説明しています（可能な場合）。

DHCPメモリ割り当てのDoS脆弱性

DHCPサーバおよびDHCPリレー機能を無効にする以外に、この脆弱性を軽減する回避策はありません。

SSL VPN認証のDoS脆弱性

この脆弱性を軽減する回避策はありません。

SIPインスペクションメディアアップデートのDoS脆弱性

SIPインスペクションを無効にすることで、この脆弱性を軽減できます。
次のコマンドを使用すると、デフォルトで設定されているSIPインスペクションが無効になります。

ciscoasa(config)# policy-map global_policy
ciscoasa(config-pmap)# class inspection_default
ciscoasa(config-pmap-c)# no inspect sip

DCERPCインスペクションバッファオーバーフローの脆弱性およびDCERPCインスペクションにおけるDoS脆弱性

DCERPCインスペクションを無効にする以外に、これらの脆弱性を軽減する回避策はありません。

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

推奨リリース

次の表に、推奨リリースをすべて示します。これらの推奨リリースには、このアドバイザリに記載されているすべての脆弱性に対する修正が含まれています。シスコでは、これらの推奨リリース、またはそれ以降のリリースにアップグレードすることを推奨します。

ソフトウェアのダウンロード

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスの場合は、製品>セキュリティ>ファイアウォール>適応型セキュリティアプライアンス(ASA) > Cisco ASA 5500シリーズ適応型セキュリティアプライアンス> <Cisco ASAモデル> >適応型セキュリティアプライアンス(ASA)ソフトウェアに移動します。これらのバージョンの一部は暫定バージョンであり、ダウンロードページのInterimタブを展開すると表示されます。

Cisco Catalyst 6500シリーズASAサービスモジュールの場合は、Products > Cisco Interfaces and Modules > Cisco Services Modules >Cisco Catalyst 6500 Series ASA Services Module > ASA Services Module (ASASM) Softwareの順に選択します。これらのバージョンの一部は暫定バージョンであり、ダウンロードページのInterimタブを展開すると表示されます。

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例とその公表は確認しておりません。

このセキュリティアドバイザリに記載されている脆弱性はすべて、社内テストで発見されたか、カスタマーサポートケースの解決中に発見されたものです。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。