SSHの不正なパケットの脆弱性

Secure Shell(SSH)サーバのサポートを含む特定のシスコ製品は、デバイスでSSHサーバが有効になっている場合、サービス拒否(DoS)の影響を受けやすくなります。該当するデバイス宛ての不正なSSHパケットにより、デバイスのリロードが引き起こされる可能性があります。該当するデバイスでパケットが受信されるには、認証は必要ありません。Cisco IOS®のSSHサーバはデフォルトで無効になっています。

シスコでは、問題を修正するための無償ソフトウェアをできる限り早急に提供する予定です。

不正な形式のパケットは、Rapid7, Inc.のSSHredderテストスイートを使用して生成できます。回避策があります。Cisco PSIRTでは、この脆弱性の不正利用は確認していません。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20021219-ssh-packetで確認できます。

このセクションには、該当製品に関する詳細が掲載されています。

Secure Shell(SSH)プロトコルの実装をテストするために、巧妙に細工されたパケットのスイートが開発されました。SSHサーバが有効になっている場合、いくつかのテストケースでは、認証プロセスが呼び出される前にデバイスの強制的なリロードが発生します。巧妙に細工されたパケットの1つを使用して該当するシスコデバイスにSSH接続が試行されるたびに、デバイスがハングまたはリブートする可能性があります。

Cisco IOS ソフトウェア

SSHサーバ機能は、Cisco IOSリリーストレイン12.0S、12.0ST、12.1T、12.1E、12.2、12.2T、12.2Sで使用できます。SSHサーバ機能を持つすべてのリリースは、コンフィギュレーションモードでcrypto key generate rsaコマンドを発行してSSHサーバを有効にすると脆弱になります。

Cisco 3550を除き、脆弱性のあるバージョンのCisco IOSを実行しているすべての製品は、クラッシュ後に自動的にリロードされ、サービスを再開します。Cisco 3550はリロードしないため、通常の処理を再開するには手動による介入が必要です。

複数のCisco IOS不具合が検出されました。CSCdz60229、CSCdy87221、およびCSCdu75477として文書化されています。

Ciscoコンテンツスイッチングソフトウェア

脆弱性のあるバージョンのCisco WebNSソフトウェアを実行しているCisco Content Services Switch（CSS；コンテントサービススイッチ）では、サービスのリロードと再開が行われます。

このシスコの不具合は、DDTS CSCdz62330で文書化されています。

Cisco Aironetソフトウェア

SSHサーバ機能は、Aironetソフトウェアのバージョン12.00Tで機能として導入されました。脆弱性が存在するのは、バージョン12.00Tと12.01Tだけです。脆弱性が存在するこれらのバージョンのCisco Aironetソフトウェアを実行しているCisco Aironetアクセスポイントデバイスでは、サービスのリロードと再開が行われます。

このシスコの不具合は、DDTS CSCdz66748で文書化されています。

Cisco PIX ファイアウォール

不正なSSHパケットによって、PIXがリロードする可能性があります。状況によっては、CiscoWorks 2000を使用してSSH経由でPIXを監視すると、PIXのリロードが発生する場合があります。

このシスコの不具合は、DDTS CSCdz07673で文書化されています

Cisco ONS製品

不正なSSHパケットにより、ONS製品がリロードされる可能性があります。SSHサーバ機能は、ONSシステムソフトウェアのバージョン4.6.0で機能として導入されました。バージョン4.6.0、4.6.1、および4.7.0に脆弱性が存在します。

このシスコの不具合は、DDTS CSCed38362で文書化されています。

Cisco Firewall Services Module（FWSM）

不正なSSHパケットにより、FWSMがリロードする可能性があります。状況によっては、CiscoWorks 2000を使用してSSH経由でFWSMを監視すると、FWSMのリロードが発生する場合があります。

このシスコの不具合は、DDTS CSCeb16775で文書化されています。

Cisco IOS ソフトウェア

回避策には、SSHサーバを無効にする、リモートアクセス方式としてSSHを削除する、信頼できるホストだけがサーバに接続できるようにする、外部メカニズムを介してデバイスへのSSHトラフィックを完全にブロックするなどの方法があります。

注意：  次の回避策は、デバイス認証にRSAキーペアを使用するデバイスや、これらのRSAキーペアに基づく証明書を使用するデバイスで終端するIPSECセッションに対して、望ましくない副作用を及ぼします。他の認証方式を使用するIPSECセッションは影響を受けません。

Cisco IOSでは、コンフィギュレーションモードでコマンドcrypto key zeroize rsaを適用することでSSHサーバを無効にできます。SSHサーバは、RSAキーペアの生成時に自動的に有効になります。RSAキーをゼロにすることは、SSHサーバを完全に無効にする唯一の方法です。

Cisco IOS上のSSHサーバへのアクセスも、有効なトランスポートプロトコルとしてSSHを削除することで無効にできます。これは、コンフィギュレーションモードでVTY回線上の許可されたトランスポートのリストから「ssh」を削除した状態でtransport inputコマンドを再適用することで実行できます。例：

line vty 0 4                                                                    
  transport input telnet                                                        
end

SSHサーバの機能が必要な場合は、次のURLに示すように、VTY回線のアクセスコントロールリスト(ACL)を使用して、サーバへのアクセスを特定の送信元IPアドレスに制限するか、完全にブロックすることができます。

/en/US/products/hw/switches/ps628/products_configuration_guide_chapter09186a00800d84c8.html#xtocid14

ACLの設定の詳細については、シスコのパブリックWebサイトを参照してください。

http://www.cisco.com/warp/public/707/confaccesslists.html

VTYアクセスリストの例は次のとおりです。

access-list 2 permit 10.1.1.0 0.0.0.255
access-list 2 deny any

line vty 0 4
access-class 2 in
end 

Cisco Aironetソフトウェア

Cisco Aironetアクセスポイントは、アクセスポイントに対する攻撃を緩和するために使用できるIPポートフィルタ機能を提供します。IPポートフィルタの設定については、『アクセスポイント設定ガイド：

http://www.cisco.com/univercd/cc/td/doc/product/wireless/airo_350/accsspts/ap350scg/ap350ch5.htm

また、TCPポート22へのトラフィックをブロックするファイアウォールやルータなどの外部パケットフィルタリングデバイスを使用して、デバイスの着信SSH接続をブロックすることもできます。

Cisco PIX ファイアウォール

PIX SSHインターフェイスへのアクセスを制限して、信頼できるホストからの接続のみを許可するか、代わりにHTTPSを使用するか、またはその両方を行います。CiscoWorksにTelnetを使用してPIXに接続させ、PIX Telnetインターフェイスへのアクセスを制限してCiscoWorksワークステーションからの接続のみを許可させます。

Cisco ONS製品

TCPポート22へのトラフィックをブロックするファイアウォールやルータなどの外部パケットフィルタリングデバイスを使用して、ノードの着信SSH接続をブロックします。

Cisco Firewall Services Module（FWSM）

FWSM SSHインターフェイスへのアクセスを制限して、信頼できるホストからの接続のみを許可するか、代わりにHTTPSを使用するか、またはその両方を行います。CiscoWorksにTelnetを使用してPIXに接続させ、PIX Telnetインターフェイスへのアクセスを制限してCiscoWorksワークステーションからの接続のみを許可させます。

Cisco IOS ソフトウェア

SSHサーバ機能は、Cisco IOSリリース12.0(5)S、12.0(16)ST、12.1(1)T、12.1(5a)E、12.2(1)、12.2(1)T、12.2(1)S以降で使用できます。SSH機能が有効になっている場合、これらのバージョンはすべて脆弱です。

Cisco IOS ソフトウェアの表（下掲）の各行には、リリース トレインとそれに対応するプラットフォームまたは製品が記載されています。特定のリリーストレインに脆弱性が存在する場合、修正を含む最初のリリース（「最初の修正リリース」）とそれぞれの提供予定日が「リビルド」、「暫定」、および「メンテナンス」の各列に記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。このようなリリースは、少なくとも、示されているリリース以上（最初の修正リリース ラベル以上）にアップグレードしてする必要があります。リリースを選択するときは、次の定義を念頭においてください。

メンテナンス

表の特定の行のリリーストレインについて、最も頻繁にテストされ、安定しており、強く推奨されるリリース。

リビルド

同じトレインの以前のメンテナンスリリースまたはメジャーリリースから構築され、特定の不具合に対する修正が含まれています。テストは十分ではありませんが、脆弱性を修正するために必要な最小限の変更だけが含まれています。

Interim

メンテナンスリリース間で定期的に構築され、テストの頻度が少ない暫定は、脆弱性に対応しているリリースが他にない場合にだけ選択してください。暫定イメージは、次のメンテナンス リリースが利用可能になった後、すぐにアップグレードする必要があります。暫定リリースは製造部門を通じて入手することはできず、通常はCisco TACと事前に調整を行わないと、CCOからダウンロードできません。

すべての場合において、アップグレードするデバイスに十分なメモリが実装されており、現在のハードウェアおよびソフトウェアの構成が新しいソフトウェア リリースでも適切にサポートされていることを確認する必要があります。情報が明確でない場合は、Cisco TACに連絡して、下記の「修正済みソフトウェアの入手」セクションに示されているサポートを依頼してください。

Cisco IOS ソフトウェアのリリース名および省略形の詳細は、http://www.cisco.com/warp/public/620/1.html620 を参照してください。

修正は、http://www.cisco.com/tacpage/sw-center/ の Software Center から入手できます。

ソフトウェアのインストールおよびアップグレード手順については、http://www.cisco.com/warp/public/130/upgrade_index.shtmlを参照してください。

Cisco IOSのすべてのポスト済みイメージと修復済みイメージの現在のビューについては、次のCCO登録ユーザが使用できるリストを確認してください。

Ciscoコンテンツスイッチングソフトウェア

この脆弱性はCisco WebNSソフトウェアで修正されており、現在のスケジュールに従って、2003年1月にダウンロードが可能になります。5.20.0.06sおよび7.10.0.06sの暫定ソフトウェアリリースは、現在ダウンロードできます。

Cisco Aironetソフトウェア

この脆弱性は、Cisco Aironetソフトウェアリビルドバージョン12.01T1で修正されています。このソフトウェアは、2003年1月下旬に利用可能になる予定で、Software Centerからダウンロードできます。

Cisco PIX ファイアウォール

この脆弱性は、ソフトウェアバージョン6.0(4.101)、6.1(5)、6.2(3)、および6.3(1)で修正されています。

Cisco ONS製品

この脆弱性は、ソフトウェアバージョン4.6.2、5.0.0以降のリリースで修正されています。

Cisco Firewall Services Module（FWSM）

この脆弱性は、ソフトウェアバージョン2.2(1)で最初に修正されています。

Cisco PSIRTでは、この脆弱性が悪用された事例は確認していません。このRapid7, Inc.からの巧妙に細工されたパケットのスイートは、CERT/CCアドバイザリCA-2002-36によって公開されており、研究者のWebサイトから入手できます。シスコは当初、スイートの初期テストに基づく脆弱性がないとCERT/CCアドバイザリに記載されていましたが、社内テストを継続した結果、一部の製品に脆弱性が存在することが判明しました。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。