シスコ製品に影響を及ぼす OpenSSL の多重 脆弱点: January および February 2017 年

アドバイザリーID : cisco-sa-20170130-openssl

初公開日 : 2017-01-30 21:28

最終更新日 : 2017-07-05 11:43

バージョン 2.9 : Final

回避策 : No workarounds available

Cisco バグ ID : CSCvc94616 CSCvc94581 CSCvc94585 CSCvc94662 CSCvc94665 CSCvc94589 CSCvc94741 CSCvc94669 CSCvc94623 CSCvc94745 CSCvc94729 CSCvc94649 CSCvc94609 CSCvc98372 CSCvc94691 CSCvc94650 CSCvc94651 CSCvc94692 CSCvc94730 CSCvc94735 CSCvc94759 CSCvc94716 CSCvc98361 CSCvc98364 CSCvc94760 CSCvc98369 CSCvc96106 CSCvc94765 CSCvc94641 CSCvc94762 CSCvc94768 CSCvc94604 CSCvc94648 CSCvc94601 CSCvc94602 CSCvc94767 CSCvc96109 CSCvc94629 CSCvc94749 CSCvc96092 CSCvc96093 CSCvc94591 CSCvc96099 CSCvc96176 CSCvc94590 CSCvc94595 CSCvc94632 CSCvc94556 CSCvc94633 CSCvc94598 CSCvc94752 CSCvc94636 CSCvc94637 CSCvc94758 CSCvc94634

 

2017 年 1月 26 日で、OpenSSL ソフトウェア基礎は 3 新しい脆弱性を含んだ Security Advisory をリリースしました。 基礎はまた 2016 年 11 月の OpenSSL アドバイザリで既に表われ、 シスコ製品に影響を及ぼす OpenSSL の Cisco Security Advisory 多重 脆弱点に含まれていた 1 脆弱性をリリースしました : 11月 2016 年。 OpenSSL は「適度な重大度として分類しますすべての新しい脆弱性を」。

最初の脆弱性は 32ビット システム・アーキテクチャで使用される OpenSSL だけ影響を与え、OpenSSL をクラッシュするために引き起こすかもしれません。 2つめの脆弱性は OpenSSL がクライアント側で使用されるときだけバージョン 1.1.0 だけ影響を与え、発生します。 悪意のあるサーバに接続するとき 2つめの脆弱性により OpenSSL はクラッシュしますかもしれません。 第 3 脆弱性は x86_64 アーキテクチャに基づいてシステムだけ影響を及ぼします。 第 3 脆弱性の正常なエクスプロイトは攻撃者が敏感な秘密キーの情報にアクセスすることを可能にする可能性があります。

複数のシスコ製品はこれらの脆弱性の何れか一つ以上から影響を受ける OpenSSL パッケージのバージョンを織込んでいます。

CVE ID CVE-2017-3730 によって識別される脆弱性から影響を受けるシスコ製品がありません。

2017 年 2月 16 日で、OpenSSL ソフトウェア基礎は CVE ID CVE-2017-3733 によって識別された 1 高い重大度脆弱性を含んだ別の Security Advisory をリリースしました。

この脆弱性から影響を受けるシスコ製品がありません。

このアドバイザリは、次のリンクより確認できます。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170130-openssl

シスコでは、本脆弱性の影響を受ける製品と影響の範囲を特定するために、製品ラインを調査しました。 製品が影響を受けているかについて情報に関してはこのアドバイザリの「脆弱性が存在する製品」および「脆弱性が存在しない製品」セクションを参照して下さい。

「脆弱性が存在する製品」セクションは各々の影響を受けた製品のための Cisco バグ ID が含まれています。 Cisco Bug は Cisco Bug Search Tool で検索可能であり、回避策（使用可能な場合）と修正されたソフトウェア リリースなど、プラットフォーム固有の追加情報が記載されます。

CVE ID CVE-2017-3730 および CVE-2017-3733 によって識別される脆弱性から影響を受けるシスコ製品がありません。

OpenSSL はサービス拒否の脆弱性を処理するパケットを切捨てました

OpenSSL の脆弱性はリモート攻撃者非認証によりサービス拒否 （DoS）状態を引き起こすようにする可能性があります。

脆弱性はシステムが特定の暗号を使用しているとき影響を受けた 32ビット上位 システムの切捨てられたパケットの不適当な処理が原因です。 攻撃者はターゲットのシステムへ切捨てられたパケットを送信 することによってこの脆弱性を不正利用する可能性があります。 エクスプロイトは読まれたの境界調節しま引き起こし、DoS 状態に終ってクラッシュするためにシステムを引き起こします。

OpenSSL 鍵交換処理サービス拒否の脆弱性

OpenSSL の脆弱性はリモート攻撃者非認証によりサービス拒否 （DoS）状態を引き起こすようにする可能性があります。

脆弱性は影響を受けたソフトウェアによって処理されるユーザが指定する入力の不十分な検証が原因です。 攻撃者は悪意のあるサーバの Diffie-Hellmanキー交換（DHE）または楕円曲線 DHE （ECDHE）およびクライアント システムのターゲットとされたユーザを悪意のあるサーバと通信するように説得することのために巧妙に細工された パラメータを入れるように設計されている使用によってこの脆弱性を不正利用する可能性があります。 エクスプロイトはクライアント システムの可能性がありま、クラッシュするためにシステムをおよび DoS 状態に終るヌルポインタ参照解除条件を引き起こします引き起こす。

情報漏洩の脆弱性を平方する OpenSSL モントゴメリー

OpenSSL の脆弱性はリモート攻撃者非認証がターゲットのシステムの機密情報にアクセスするようにする可能性があります。

脆弱性は影響を受けたソフトウェアのプロシージャを平方する x86_64 モントゴメリーにあります。 攻撃者はパッチ設定されていないシステムにオンライン アクセスの設定 される Diffie-Hellman（DH） パラメータと共用プライベートキーを使用する取得によってこの脆弱性を不正利用する可能性があります。 正常なエクスプロイトは攻撃者が敏感な秘密キーの情報にアクセスすることを可能にする可能性があります。

OpenSSL ハンドシェイク ネゴシエーション サービス拒否の脆弱性

OpenSSL の脆弱性はリモート攻撃者非認証によりターゲットのシステムのサービス拒否 （DoS）条件を引き起こすようにする可能性があります。

脆弱性は影響を受けたソフトウェアによって不適当な保安検査が原因です。 攻撃者は影響を受けたソフトウェアによって再ネゴシエーション ハンドシェイクの間にこの脆弱性を不正利用する可能性があります。 暗号化 Mac 拡張がハンドシェイクの間にネゴシエートされる場合、システムはターゲットのシステムの DoS 条件に終って、適切に機能することを止める可能性があります。

回避策は利用可能になり次第、Cisco Bugs に記載されます。バグは Cisco Bug Search Tool で検索できます。

シスコはこのアドバイザリに記載された脆弱性に対処する無償のソフトウェア アップデートを提供しています。 お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットに対してのみとなります。 そのようなソフトウェア アップグレードをインストール、ダウンロードする、または、アクセスしたり、その他の方法で使用する場合、お客様は以下のリンクに記載されたシスコのソフトウェア ライセンスの条項に従うことに同意したことになります。
http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html

また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシスコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。 通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。 無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

ソフトウェアのアップグレードを検討する場合は、 http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成は新規リリースでも継続して適切なサポートが受けられることを確認してください。 不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

サービス契約をご利用でないお客様

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティ ベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center（TAC）に連絡してアップグレードを入手してください。
http://www.cisco.com/en/US/support/tsd_cisco_worldwide_contacts.html

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

各脆弱なプロダクトのための影響を受けたのおよび修正済みリソースを判別するために、このアドバイザリの「脆弱性が存在する製品」セクションの製品のために識別される Ciscoバグを参照して下さい。 Cisco Bugs は、 Cisco Bug Search Tool で検索できます。

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

OpenSSL 鍵交換処理サービス拒否の脆弱性のために存在 する公共エクスプロイト CVE-2017-3730。

これらの脆弱性は OpenSSL ソフトウェア基礎によって公に 2017 年 1月 26 日および 2017 年 2月 16 日表われました。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170130-openssl

—

Version	Description	Section	Status	日付
2.9	未知数にこの段階でアップデートされる MSE 修正。	脆弱性のある製品	Final	2017-July-05
2.8	追加された Cisco IOS XR 最初修正済みリリース。	脆弱性のある製品	Final	2017-June-20
2.7	Updated product lists.	Affected Products, Vulnerable Products, Products Confirmed Not Vulnerable	Final	2017-April-27
2.6	Updated product lists.	Affected Products, Vulnerable Products, Products Confirmed Not Vulnerable	Interim	2017-April-14
2.5	Updated product lists.	Affected Products, Vulnerable Products, Products Confirmed Not Vulnerable	Interim	2017-April-07
2.4	Updated product lists.	Affected Products, Vulnerable Products, Products Confirmed Not Vulnerable	Interim	2017-March-31
2.3	Updated product lists.	Affected Products, Vulnerable Products, Products Confirmed Not Vulnerable	Interim	2017-March-23
2.2	Updated product lists.	Affected Products, Vulnerable Products, Products Confirmed Not Vulnerable	Interim	2017-March-10
2.1	Updated product lists.	Affected Products, Vulnerable Products, Products Confirmed Not Vulnerable	Interim	2017-March-01
2.0	OpenSSL 基礎によっての 2017 年 2 月第 16 表われる新しい脆弱性が含まれる更新済要約。 該当製品のための更新済製品リスト。	要約、該当製品、脆弱性が存在する製品、脆弱性が存在しない製品、出典	Interim	2017-February-17
1.1	Updated product lists.	Affected Products, Vulnerable Products, Products Confirmed Not Vulnerable	Interim	2017-February-03
1.0	初回公開リリース		Interim	2017-January-30

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。