Ciscoファイアウォールサービスモジュールの複数の脆弱性

Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用のCisco Firewall Services Module(FWSM)は、複数の脆弱性の影響を受けます。影響を受けるCisco FWSMソフトウェアのバージョンは、脆弱性によって異なります。

SunRPCインスペクションに関するDoS脆弱性

Cisco FWSMソフトウェアバージョン3.xおよび4.xは、SunRPCインスペクションが有効になっている場合にのみ、これらの脆弱性の影響を受けます。SunRPCインスペクションはデフォルトで有効になっています。

SunRPCインスペクションが有効になっているかどうかを確認するには、show service-policy | include sunrpcコマンドを使用して、次の例に示すように出力が返されることを確認します。

fwsm#show service-policy | include sunrpc
      Inspect: sunrpc , packet 0, drop 0, reset-drop 0

または、SunRPCインスペクションが有効になっているデバイスの設定は次のようになります。

class-map inspection_default
 match default-inspection-traffic
!
policy-map global_policy
 class inspection_default
  ...
  inspect sunrpc
  ...
!
service-policy global_policy global

注：Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、このアドバイザリに記載されているSunRPCインスペクションの脆弱性の影響を受けます。この脆弱性およびCisco ASA 5500シリーズ適応型セキュリティアプライアンスに影響するその他の脆弱性については、別途Cisco Security Advisoryが公開されています。このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20100804-asaで確認できます。

TCPのDoS脆弱性

Cisco FWSMソフトウェアバージョン3.xおよび4.xは、マルチモード（仮想ファイアウォールを使用）で設定され、次のいずれかの機能を備えている場合に、この脆弱性の影響を受けます。

• ASDM管理アクセス
  
• Telnet
  
• SSH
  

FWSMがマルチモードで動作しているかどうかを確認するには、次の例に示すようにshow modeコマンドを使用します。

FWSM(config)#show mode
Security context mode: multiple
The flash mode is the SAME as the running mode.

次のコマンドを使用してHTTPSサーバを有効にし、192.168.1.0/24ネットワーク内のアドレスを持つ内部インターフェイス上のホストのみがASDM、SSH、またはTelnet接続を作成できるようにします。

asa(config)# http server enable
asa(config)# http 192.168.1.0 255.255.255.0 inside
asa(config)# telnet 192.168.1.0 255.255.255.0 inside
asa(config)# ssh 192.168.1.0 255.255.255.0 inside

ソフトウェアバージョンの確認

実行中のCisco FWSMソフトウェアのバージョンを確認するには、Cisco IOSソフトウェアまたはCisco Catalystオペレーティングシステムソフトウェアからshow moduleコマンドを発行して、システムにインストールされているモジュールとサブモジュールを確認します。

次の例は、スロット2にCisco FWSM(WS-SVC-FWM-1)がインストールされているシステムを示しています。

switch>show module
Mod Ports Card Type                              Model              Serial No.
--- ----- -------------------------------------- ------------------ -----------
  1   16  SFM-capable 16 port 1000mb GBIC        WS-X6516-GBIC      SAL06334NS9
  2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485
  3    8  Intrusion Detection System             WS-SVC-IDSM-2      SAD0932089Z
  4    4  SLB Application Processor Complex      WS-X6066-SLB-APC   SAD093004BD
  5    2  Supervisor Engine 720 (Active)         WS-SUP720-3B       SAL0934888E

Mod MAC addresses                       Hw    Fw           Sw           Status
--- ---------------------------------- ------ ------------ ------------ -------
  1  0009.11e3.ade8 to 0009.11e3.adf7   5.1   6.3(1)       8.5(0.46)RFW Ok
  2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       3.2(2)10     Ok
  3  0014.a90c.9956 to 0014.a90c.995d   5.0   7.2(1)       5.1(6)E1     Ok
  4  0014.a90c.66e6 to 0014.a90c.66ed   1.7                4.2(3)       Ok
  5  0013.c42e.7fe0 to 0013.c42e.7fe3   4.4   8.1(3)       12.2(18)SXF1 Ok

[...]

正しいスロットの場所を確認した後、show module <slot number>コマンドを発行して、次の例に示すように、実行中のソフトウェアバージョンを識別します。

switch>show module 2
Mod Ports Card Type                              Model              Serial No.
--- ----- -------------------------------------- ------------------ -----------
  2    6  Firewall Module                        WS-SVC-FWM-1       SAD10360485

Mod MAC addresses                       Hw    Fw           Sw           Status
--- ---------------------------------- ------ ------------ ------------ -------
  2  0018.ba41.5092 to 0018.ba41.5099   4.0   7.2(1)       3.2(2)10     Ok

[...]

上の例は、「Sw」の列に示されているように、FWSMでソフトウェアバージョン3.2(2)10が実行されていることを示しています。

注：Cisco IOSソフトウェアの最近のバージョンでは、show moduleコマンドの出力に各モジュールのソフトウェアバージョンが表示されます。したがって、show module <slot number>コマンドを実行する必要はありません。

仮想スイッチングシステム(VSS)を使用して、2台の物理的なCisco Catalyst 6500シリーズスイッチを1つの論理仮想スイッチとして動作させることができる場合は、show module switch allコマンドを使用して、スイッチ1とスイッチ2に属するすべてのFWSMのソフトウェアバージョンを表示できます。このコマンドの出力は、show module <slot number>の出力に似ていますが、VSSの各スイッチのモジュールに関するモジュール情報が含まれています。

または、次の例に示すように、show versionコマンドを使用してFWSMからバージョン情報を直接取得することもできます。

FWSM> show version
FWSM Firewall Version 3.2(2)10 
[...]

Cisco Adaptive Security Device Manager（ASDM）を使用してデバイスを管理している場合は、ログイン ウィンドウの表、または ASDM ウィンドウの左上にソフトウェアのバージョンが表示されます。バージョンの表記は次の例のようになります。

FWSM Version: 3.2(2)10

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスを除き、これらの脆弱性の影響を受けるシスコ製品は現在確認されていません。