日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco IOSソフトウェアの複数のリリースに存在する不具合により、IOS HTTPサービスが有効で、「http://router-ip/anytext?/」へのブラウズが試行され、イネーブルパスワードが要求されたときに、Ciscoルータまたはスイッチが停止してリロードされます。この不具合は、サービス拒否(DoS)攻撃を引き起こすために不正利用される可能性があります。
この脆弱性は、Cisco Bug ID CSCdr91706として特定され、Cisco IOSソフトウェアリリース12.0 ～ 12.1を実行しているほぼすべてのメインストリームのシスコルータおよびスイッチに影響を与えます。これはCSCdr36952と同じ不具合ではありません。
この脆弱性は修正されており、シスコでは修正済みリリースを無償で提供して、該当するすべてのIOSリリースを置き換えています。この不具合に対して脆弱ではないリリースにアップグレードすることをお勧めします(下記を参照)。
この脆弱性を不正利用できるのは、イネーブルパスワードが既知の場合、または設定されていない場合のみです。
アドバイザリ全体は、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20001025-ios-http-server-queryで確認できます。
該当製品
このセクションには、該当製品に関する詳細が掲載されています。
脆弱性のある製品
次の製品は、この不具合のCisco IOSソフトウェアリリースが稼働している場合に影響を受けます。シスコ製品が該当するIOSを実行しているかどうかを確認するには、デバイスにログインしてコマンドshow versionを発行します。Cisco IOSソフトウェアは、「Internetwork Operating System Software」または「IOS(tm)」ソフトウェアとして識別され、バージョン番号が表示されます。他のCiscoデバイスでは、コマンドshow versionが設定されていないか、異なる出力が返されます。ルータから取得したバージョン番号を、次の「ソフトウェアバージョンと修正」セクションに示されているバージョンと比較します。
該当するIOSソフトウェアリリースが稼働しているシスコデバイスには、次のものがあります。
-
AGS/MGS/CGS/AGS+、IGS、RSM、800、ubr900、1000、1400、1500、1600、1700、2500、2600、3000、3600、3800、4000、4500、470にあるCiscoルータ 0、AS5200、AS5300、AS5800、6400、7000、7200、ubr7200、7500、および12000シリーズ。
-
LS1010 ATMスイッチの最新バージョン。
-
Catalyst 6000（IOSを実行している場合）
-
Catalyst 2900XL LANスイッチは、IOSを実行している場合にのみ使用できます。
-
Catalyst 1900、2800、2900、3000、および5000シリーズのLANスイッチが該当します。
-
Cisco DistributedDirectorです。
一部の製品では、該当するソフトウェアリリースが比較的新しく、上記のすべてのデバイスで使用できるとは限りません。
脆弱性を含んでいないことが確認された製品
Cisco IOSソフトウェアを実行していない場合、この脆弱性の影響を受けません。
Cisco IOSソフトウェアが稼働しておらず、この不具合の影響を受けないシスコ製品には次のものが含まれますが、これらに限定されません。
-
700シリーズのダイヤルアップルータ（750、760、および770シリーズ）は影響を受けません。
-
Catalyst 6000は、IOSを実行していない場合は該当しません。
-
IGXおよびBPXラインのWANスイッチング製品は影響を受けません。
-
MGX（以前のAXISシェルフ）は影響を受けません。
-
Cisco PIX Firewallは該当しません。
-
Cisco LocalDirectorは該当しません。
-
Cisco Cache Engineは該当しません。
他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。
詳細
HTTPサーバは、ルータ管理を世界中のWebに拡張するためにIOSリリース11.0で導入されました。「?」（疑問符）文字は、CGI引数のデリミタとしてHTML仕様で定義されています。また、IOSコマンドラインインターフェイス(CLI)でも、ヘルプの要求として解釈されます。
Cisco IOSソフトウェアリリース12.0T以降では、Cisco IOSソフトウェアの該当バージョンで、「/」（スラッシュ）文字の横に疑問符が表示される場合、その意味はURIパーサーによって正しく判断できません。「?/」を含むURIがルータのHTTPサービスに提示され、有効なイネーブルパスワードが提供されると、ルータは無限ループに入ります。ウォッチドッグタイマーは2分後に時間切れになり、強制的にルータがクラッシュしてリロードします。影響を受けるIOSソフトウェアリリースを実行しており、イネーブルパスワードがわかっている限り、ルータはこの不具合に対して脆弱であり続けます。
この脆弱性が不正利用されるのは、イネーブルパスワードが設定されていない場合、既知の場合、または推測できる場合のみです。
まれに、該当するデバイスのリロードが失敗する場合があります。これは、管理者が動作を再開するために物理的に電源をオフ/オンする必要があることを意味します。
HTTPサーバは、未設定のCiscoモデル1003、1004、および1005ルータを除き、デフォルトでは有効になっていません。ルータを設定するための初期アクセス権が付与されると、イネーブルパスワードを設定し、設定を変更することでHTTPサーバへのアクセスを無効にしたり制限したりできます。新しい設定が保存されると、ルータの再起動時にHTTPサーバは有効になりません。
Cisco Bug ID CSCdr91706はIOSの修正に関連しています。該当するスイッチ製品ラインの修正は、Cisco Bug ID CSCds57774およびCSCdv38391と一緒に一覧されています。
回避策
アップグレードの代わりに、次のいずれかの方法で脅威を排除または軽減できます。
-
ネットワークデバイスで強力なイネーブルパスワードを選択して設定します。
または
-
グローバルコンフィギュレーションモードでno ip http serverコマンドを使用して、HTTPサーバを無効にします。
または
-
HTTPサーバを修復しないまま有効にしておく必要がある場合は、標準アクセスリストをHTTPサービス自体に適用することで、HTTPサーバへのネットワークアクセスを制御できます。たとえば、IPアドレス10.1.2.3のコンピュータで実行されているブラウザからのみルータのHTTPサービスに到達できる必要がある場合は、グローバルコンフィギュレーションモードで次のコマンドを使用して標準アクセスリストを作成し、それをHTTPサーバに適用します。
アクセスリスト1がすでに使用されている場合は、0 ～ 99の範囲の別の番号を選択します。すべてのアクセスリストの最後に追加される暗黙の拒否ルールは、他のIPアドレスからのアクセスを防止します。access-list 1 permit 10.1.2.3 ip http access-class 1
または
-
拡張アクセスリストを使用して、サーバのポートへのネットワークパス内のトラフィックをブロックすることにより、脆弱なHTTPサーバへのネットワークアクセスを防止します。このようなリストは、脆弱性のあるルータ自体のインターフェイスに適用されるか、潜在的な攻撃の経路にある別のCiscoルータに適用されます（エッジルータの外部インターフェイスへの着信など）。拡張アクセスリスト文で使用されるポート番号は、HTTPサーバで使用されるデフォルトポートであるポート80、またはip http portコマンドで設定された値と等しい必要があります。この回避策は慎重に使用してください。お客様の特定のネットワーク設定を理解していないと、自信を持って推奨できません。
リロード後にサーバの保護が誤って解除されないように、結果の設定をメモリに保存します。
修正済みソフトウェア
次の表に、この通知に記載された不具合の影響を受けるCisco IOSソフトウェアリリースと、対応する最初の修正済みリリースが利用可能になる予定日をまとめます。日程は暫定的なものであり、変更されることがあります。
表の各行は、「Rebuild」、「Interim」、または「Maintenance」列に修正を含む最初のリリースをリリース番号順に示しています。
メンテナンスリリースは、最も頻繁にテストされ、強く推奨されるリリースです。
再ビルドリリースは、以前のメンテナンスリリースまたはメインラインリリースから構築され、特定の不具合に対するコード修正が含まれています。このリリースはメンテナンスリリースほどテストされていませんが、以前のメンテナンスリリースから構築されており、特定の不具合に対処するための最小限の変更が含まれています。
暫定リリースは、メンテナンスリリースに比べてテストが大幅に少ないため、他の適切なリリースで不具合が修正されない場合にのみ選択する必要があります。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。
|
メジャー リリース |
説明またはプラットフォーム |
修正済みリリースの入手可能性* |
||
|---|---|---|---|---|
|
影響を受けない旧リリース |
リビルド |
暫定 |
メンテナンス |
|
|
11.0以前、すべてのバリアント |
多数 |
脆弱性なし |
脆弱性なし |
脆弱性なし |
|
11.1 |
11.1 AA、11.1 CA、11.1 CC、11.1 CT、11.1 IA |
脆弱性なし |
脆弱性なし |
脆弱性なし |
|
11.2 |
11.2 BC、11.2 P、11.2 F、11.2 GS、11.2 WA3、11.2 XA |
脆弱性なし |
脆弱性なし |
脆弱性なし |
|
11.3 |
11.3 NA、11.3 AA、11.3 DA、11.3 XA、11.3 HA、11.3 WA、11.3 MA、11.3 DB |
脆弱性なし |
脆弱性なし |
脆弱性なし |
|
12.0より前のベースリリース |
リビルド |
暫定 |
メンテナンス |
|
|
11.2 SA |
||||
|
12.0 ベースのリリース |
リビルド |
暫定 |
メンテナンス |
|
|
12.0 |
General Deployment(GD)：すべてのプラットフォーム |
脆弱性なし |
脆弱性なし |
脆弱性なし |
|
12.0DA |
xDSLサポート：6100、6200 |
脆弱性なし |
脆弱性なし |
脆弱性なし |
|
12.0S |
コア/ISPサポート：gsr、rsp、c7200 |
脆弱性なし |
脆弱性なし |
脆弱性なし |
|
12.0SC |
ケーブル/ブロードバンドISP:ubr7200 |
脆弱性なし |
脆弱性なし |
脆弱性なし |
|
12.0SL |
10000 ESR:c10k |
脆弱性なし |
脆弱性なし |
脆弱性なし |
|
12.0T |
Early Deployment(ED):VPN、Distributed Director、各種プラットフォーム |
12.1(5) |
||
|
2000-OCT-30 |
||||
|
12.0W5 |
cat8510c、cat8540c、c6msm ls1010、cat8510m、cat8540m c5atm、c5atm、c3620、c3640、c4500、c5rsfc、c5rsm、c7200、rsp |
12.0(13)W5(19) |
||
|
2000-NOV-13 |
||||
|
cat2948g、cat4232 |
12.0(10)W5(18e) |
|||
|
2000-NOV-14 |
||||
|
12.0XA |
Early Deployment(ED)：プラットフォームが限られている |
12.1(5) |
||
|
12.0XE |
Early Deployment(ED)：プラットフォームが限られている |
12.1(3a)E4 |
||
|
2000-OCT-24 |
||||
|
12.0XH |
Early Deployment(ED)：プラットフォームが限られている |
12.0(4)XH4 |
||
|
[不明（Unknown）] |
||||
|
12.0XJ |
Early Deployment(ED)：プラットフォームが限られている |
12.0(5)XJ6 |
||
|
[不明（Unknown）] |
||||
|
12.1 ベースのリリース |
リビルド |
暫定 |
メンテナンス |
|
|
12.1 |
General Deployment(GD)候補：すべてのプラットフォーム |
12.1(05) |
||
|
2000-OCT-30 |
||||
|
12.1AA |
Access & Dial Early Deployment(ED):c5200、c5300、c5800、dsc-c5800 |
12.1(5)AA |
||
|
2000-NOV-13 |
||||
|
12.1DA |
xDSLサポート：6160、6260 |
12.01(04)DA |
||
|
2000-OCT-30 |
||||
|
12.1DB |
xDSLサポート：c6400 |
12.01(4)DB |
||
|
2000-NOV-13 |
||||
|
12.1DC |
xDSL NRPサポート：c6400r |
12.01(4)DC |
||
|
2000-NOV-13 |
||||
|
12.1E |
ELB Early Deployment(ED):cat6k、8500、ls1010、7500、7200、7100 |
12.1(3a)E4 |
||
|
2000-OCT-24 |
||||
|
12.1EC |
ケーブル/ブロードバンド早期導入(ED):ubr7200 |
12.01(03a)EC1 |
||
|
[不明（Unknown）] |
||||
|
12.1T |
New technology Early Deployment(ED)：すべてのプラットフォーム |
12.1(5)T |
||
|
2000-NOV-20 |
||||
|
12.1XA |
Early Deployment(ED)：プラットフォームが限られている |
スケジュールなし |
12.1(5)T |
|
|
12.1XB |
Early Deployment(ED)：プラットフォームが限られている |
スケジュールなし |
||
|
12.1XC |
Early Deployment(ED)：プラットフォームが限られている |
スケジュールなし |
12.1(5)T |
|
|
12.1XD |
Early Deployment(ED)：プラットフォームが限られている |
スケジュールなし |
12.1(5)T |
|
|
12.1XE |
Early Deployment(ED)：プラットフォームが限られている |
スケジュールなし |
12.1(5)T |
|
|
12.1XF |
Early Deployment(ED)：プラットフォームが限られている |
12.1(2)XF2 |
12.1(5)T |
|
|
2000-NOV-13 |
||||
|
12.1XG |
Early Deployment(ED)：プラットフォームが限られている |
12.1(3)XG2 |
||
|
2000-NOV-13 |
||||
|
12.1XH |
Early Deployment(ED)：プラットフォームが限られている |
スケジュールなし |
12.1(5)T |
|
|
12.1XI |
Early Deployment(ED)：プラットフォームが限られている |
スケジュールなし |
||
|
12.1XJ |
Early Deployment(ED)：プラットフォームが限られている |
スケジュールなし |
||
|
12.1XL |
Early Deployment(ED)：プラットフォームが限られている |
スケジュールなし |
||
|
12.1XP |
Early Deployment(ED)：プラットフォームが限られている |
12.1(3)XP2 |
12.1(5)T |
|
|
2000-NOV-13 |
||||
|
注意事項 |
||||
|
*すべての日付は概算であり、変更される可能性があります。 通常のメンテナンス リリースと比較した場合、暫定リリースに対しては厳格なテストが実施されていないため、重大なバグが含まれている可能性があります。 |
||||
推奨事項
不正利用事例と公式発表
Cisco PSIRTは、CORE SDIからこの問題について警告を受けました。このSDIは、機器に対する定期的なセキュリティ監査の際にこの問題を発見しました。セキュリティ監査では、パスワードが設定されていないシスコデバイスに対する一般的なCGI脆弱性のチェックが行われました。監査では「http://<router-ip>/cgi-bin/source-help?/」を参照しようとしたため、デバイスがクラッシュしてリロードされました。
Cisco PSIRTには、この脆弱性が悪用されたという報告はありません。
URL
改訂履歴
|
Revision 1.6 |
2006年3月17日 |
「ソフトウェアバージョンおよび修正」セクションで12.XCを12.1XCに変更。最終ステータステキストを更新。 |
|
Revision 1.5 |
2003年3月5日 |
影響を受けるその他のハードウェアに関する「バグIDの詳細」セクションを追加。 |
|
リビジョン 1.4 |
2002年9月25日 |
この通知セクションのステータスをFINALに更新。 |
|
リビジョン 1.3 |
2000年11月1日 |
「Catalyst 1900、2800、2900、3000、および5000シリーズLANスイッチが該当」に関する該当製品のセクションを更新。 該当しない11.2リリースのリストから「11.2 SA」を削除。 該当する12.0より前のリリースに「11.2 SA」を追加。 12.0Tの提供開始日とアップグレードバージョンを追加。 「ネットワークデバイスで強力なパスワードを選択して設定する」の文を「ネットワークデバイスで強力なイネーブルパスワードを選択して設定する」に変更。 |
|
リビジョン 1.2 |
2000年10月26日 |
12.1 XF、12.1 XG、および12.1 XPのテーブル情報を更新。 「該当製品」セクションに、該当製品としてCatalyst 2800を追加。 |
|
リビジョン 1.1 |
2000年10月25日 |
12.1Tおよび12.1AAのテーブル情報を更新。 |
|
リビジョン 1.0 |
2000年10月25日 |
初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。