日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用のCisco Firewall Services Module(FWSM)には、不正なSkinny Client Control Protocol(SCCP)メッセージの処理後にCisco FWSMがリロードする可能性のある脆弱性が存在します。デバイスは、SCCPインスペクションが有効になっている場合に影響を受けます。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110223-fwsm で公開されています。
注： Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、このアドバイザリに記載されている脆弱性の影響を受けます。この脆弱性およびCisco ASA 5500シリーズ適応型セキュリティアプライアンスに影響するその他の脆弱性については、別途Cisco Security Advisoryが公開されています。このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110223-asaで確認できます。
該当製品
脆弱性のある製品
SCCPインスペクションが有効になっている場合、Cisco FWSMソフトウェアのバージョン3.1.x、3.2.x、4.0.x、および4.1.xがこの脆弱性の影響を受けます。SCCPインスペクションはデフォルトで有効になっています。
SCCPインスペクションが有効になっているかどうかを確認するには、show service-policy | include skinnyコマンドを使用して、コマンドが出力を返すことを確認します。次に出力例を示します。
fwsm#show service-policy | include skinny
Inspect: skinny , packet 0, drop 0, reset-drop 0
または、SCCPインスペクションが有効になっているデバイスの設定は次のようになります。
class-map inspection_default match default-inspection-traffic ! policy-map global_policy class inspection_default ... inspect skinny ... ! service-policy global_policy global
注：サービスポリシーは、特定のインターフェイスに適用することもできます。（前の例ではグローバルアプリケーションを示しています）。
実行中のCisco FWSMソフトウェアのバージョンを確認するには、Cisco IOSソフトウェアまたはCisco Catalystオペレーティングシステムソフトウェアからshow moduleコマンドを発行して、システムにインストールされているモジュールとサブモジュールを確認します。
次の例は、スロット2にCisco FWSM(WS-SVC-FWM-1)がインストールされているシステムを示しています。
switch>show module Mod Ports Card Type Model Serial No. --- ----- -------------------------------------- ------------------ ----------- 1 16 SFM-capable 16 port 1000mb GBIC WS-X6516-GBIC SAL06334NS9 2 6 Firewall Module WS-SVC-FWM-1 SAD10360485 3 8 Intrusion Detection System WS-SVC-IDSM-2 SAD0932089Z 4 4 SLB Application Processor Complex WS-X6066-SLB-APC SAD093004BD 5 2 Supervisor Engine 720 (Active) WS-SUP720-3B SAL0934888E Mod MAC addresses Hw Fw Sw Status --- ---------------------------------- ------ ------------ ------------ ------- 1 0009.11e3.ade8 to 0009.11e3.adf7 5.1 6.3(1) 8.5(0.46)RFW Ok 2 0018.ba41.5092 to 0018.ba41.5099 4.0 7.2(1) 3.2(2)10 Ok 3 0014.a90c.9956 to 0014.a90c.995d 5.0 7.2(1) 5.1(6)E1 Ok 4 0014.a90c.66e6 to 0014.a90c.66ed 1.7 4.2(3) Ok 5 0013.c42e.7fe0 to 0013.c42e.7fe3 4.4 8.1(3) 12.2(18)SXF1 Ok [...]
正しいスロットを見つけたら、show module <slot number>コマンドを発行して、実行されているソフトウェアバージョンを確認します。次に例を示します。
switch>show module 2 Mod Ports Card Type Model Serial No. --- ----- -------------------------------------- ------------------ ----------- 2 6 Firewall Module WS-SVC-FWM-1 SAD10360485 Mod MAC addresses Hw Fw Sw Status --- ---------------------------------- ------ ------------ ------------ ------- 2 0018.ba41.5092 to 0018.ba41.5099 4.0 7.2(1) 3.2(2)10 Ok [...]
上の例では、Sw列に示されているように、FWSMでソフトウェアバージョン3.2(2)10が実行されていることを示しています。
注：Cisco IOSソフトウェアの最近のバージョンでは、show moduleコマンドの出力に各モジュールのソフトウェアバージョンが表示されます。したがって、show module <slot number>コマンドを実行する必要はありません。
仮想スイッチングシステム(VSS)を使用して、2台の物理的なCisco Catalyst 6500シリーズスイッチを1つの論理仮想スイッチとして動作させることができる場合は、show module switch allコマンドを使用して、スイッチ1とスイッチ2に属するすべてのFWSMのソフトウェアバージョンを表示できます。このコマンドの出力はshow module <slot number>の出力に似ていますが、VSSの各スイッチのモジュールに関するモジュール情報が含まれています。
または、次の例に示すように、show versionコマンドを使用してFWSMからバージョン情報を直接取得することもできます。
FWSM> show version FWSM Firewall Version 3.2(2)10 [...]
Cisco Adaptive Security Device Manager（ASDM）を使用してデバイスを管理している場合は、ログイン ウィンドウの表、または ASDM ウィンドウの左上にソフトウェアのバージョンが表示されます。バージョン表記は次の例のようになります。
FWSM Version: 3.2(2)10
脆弱性を含んでいないことが確認された製品
Cisco ASA 5500シリーズ適応型セキュリティアプライアンスを除き、この脆弱性の影響を受けるシスコ製品は現在確認されていません。
詳細
Cisco FWSMは、Cisco Catalyst 6500シリーズスイッチおよびCisco 7600シリーズルータ用の高速な統合型ファイアウォールモジュールです。FWSMは、ステートフルパケットフィルタリングとディープパケットインスペクションを備えたファイアウォールサービスを提供します。
Cisco FWSMは、SCCPインスペクションが有効な場合、不正なSCCPメッセージの処理中にデバイスがリロードされる可能性のある脆弱性の影響を受けます。
この脆弱性は通過トラフィックによってのみ引き起こされます。デバイス宛てのトラフィックはこの脆弱性を引き起こしません。
この脆弱性は、Cisco Bug ID CSCtl84952（登録ユーザ専用）として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2011-0394が割り当てられています。
回避策
SCCPインスペクションが不要な場合は、無効にすることで、デバイスが脆弱性の影響を受けないようにすることができます。管理者は、ポリシーマップ設定のクラス設定サブモードでno inspect skinnyコマンドを発行することにより、SCCPインスペクションを無効にすることができます。SCCP検査が必要な場合は、回避策はありません。
修正済みソフトウェア
アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。
次のCisco FWSMソフトウェアの表の各行には、主要なCisco FWSMソフトウェアトレイン、および最初の修正リリースの列に修正を含むトレインの最初のリリース（「最初の修正リリース」）と提供予定日（現在提供されていない場合）が記載されています。特定の列のリリースより前（First Fixed Releaseより前）のリリースを実行しているデバイスは、脆弱性が存在することが確認されています。リリースは、少なくとも指定されたリリース以降（First Fixed Releaseラベル以降）にアップグレードする必要があります。
|
メジャー リリース |
First Fixed Release（修正された最初のリリース） |
|---|---|
|
3.1 |
3.1(20) |
|
3.2 |
3.2(20) |
|
4.0 |
4.0(15) |
|
4.1 |
4.1(5) |
修正済みのCisco FWSMソフトウェアは、Cisco.comのSoftware Center(http://www.cisco.com/cisco/software/navigator.html)(登録ユーザ専用)からダウンロードでき、Products > Security > Firewall > Firewall Integrated Switch/Router Services > Cisco Catalyst 6500 Series Firewall Services Module > Firewall Services Module (FWSM) Softwareの順に移動してください。
推奨事項
不正利用事例と公式発表
Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。
この脆弱性は内部テストで発見されました。
URL
改訂履歴
|
リビジョン 1.0 |
2011年2月23日 |
初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。