Cisco 適応型セキュリティ アプライアンス ソフトウェアおよび Firepower Threat Defense ソフトウェアの VPN SAML 認証バイパスの脆弱性

この脆弱性は、Cisco ASA ソフトウェア リリース 9.7.1 以降か Cisco FTD ソフトウェア リリース 6.2.1 以降を実行しており、クライアントレス SSL VPN（WebVPN）または AnyConnect リモート アクセス VPN 向けの SAML 2.0 ベースの SSO が設定されている次のシスコ製品に影響を与えます。

• 3000 シリーズ産業用セキュリティ アプライアンス（ISA）
• 適応型セキュリティ アプライアンス（ASA）5500-X シリーズ ファイアウォール
• Cisco Catalyst 6500 シリーズ スイッチおよび Cisco 7600 シリーズ ルータ用の ASA サービス モジュール
• 適応型セキュリティ仮想アプライアンス（ASAv）
• Firepower 2100 シリーズ
• Firepower 4100 シリーズ
• Firepower 9300 セキュリティ アプライアンス
• Firepower Threat Defense Virtual

脆弱性が存在する Cisco ASA ソフトウェアおよび FTD ソフトウェア リリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。

ASA および FTD 機能

Cisco ASA ソフトウェアおよび FTD ソフトウェアは、次の機能のすべてが設定されている場合にのみ脆弱です。

1. SAML 2.0 Identity Provider（IdP）
2. SAML 2.0 Service Provider（SP）
3. AnyConnect リモート アクセス VPN またはクライアントレス SSL VPN（WebVPN）

注： AnyConnect機能用のSAML 2.0は、ASAリリース9.7.1、FTDリリース6.2.1、およびAnyConnectセキュアモビリティクライアントリリース4.4.00243からサポートされています。

管理者は show webvpn saml idp CLI コマンドを使用して、ASA または FTD が SAML 2.0 IdP で構成されているかどうかを判別できます。次の出力は、SAML 2.0 IdP で構成されている ASA を示しています。

ciscoasa# show webvpn saml idp
 saml idp my_domain_idp
  url sign-in https://asa-dev.my.domain.com/idp/endpoint/HttpRedirect
  url sign-out https://asa-dev.my.domain.com/idp/endpoint/HttpRedirect
  trustpoint idp my_domain_trustpoint
  trustpoint sp asa_trustpoint

管理者は show running-config tunnel-group | include remote-access|webvpn-attributes|saml CLI コマンドを使用して、ASA または FTD に SAML 2.0 SP が設定されているかどうかを確認できます。 | include remote-access|webvpn-attributes|saml CLIコマンドを使用します。次の出力は、SAML 2.0 SP が設定されている ASA を示しています。

ciscoasa# show running-config tunnel-group | include remote-access|webvpn-attributes|saml
tunnel-group cloud_idp_onelogin type remote-access
tunnel-group cloud_idp_onelogin webvpn-attributes
 authentication saml
 saml identity-provider my_domain_idp

管理者は show running-config CLI コマンドを使用し、脆弱な設定についての下記の表を参照することにより、ASA か FTD が AnyConnect リモート アクセス VPN またはクライアントレス SSL VPN（WebVPN）用に設定されているかどうかを確認できます。

Cisco ASA ソフトウェア リリースの判別

デバイス上で実行されている Cisco ASA ソフトウェア リリースは、管理者がデバイスにログインして CLI で show version | include Version コマンドを使用し、その出力を参照することで確認できます。デバイスが Cisco ASA ソフトウェア リリース 9.9.2.18 を実行している場合、コマンドの出力は次の例のようになります。

ciscoasa# show version | include Version
Cisco Adaptive Security Appliance Software Version 9.9.2.18
Device Manager Version 7.4(1)
.
.
.

デバイスが Cisco Adaptive Security Device Manager（ASDM）を使用して管理されている場合、管理者は Cisco ASDM ログイン ウィンドウまたは [Cisco ASDM ホーム（Cisco ASDM Home）] ペインの [デバイス ダッシュボード（Device Dashboard）] タブに表示される表のリリース情報を参照して、デバイスで実行中のリリースを確認することもできます。

Cisco FTD ソフトウェア リリースの判別

デバイスで実行中の Cisco FTD ソフトウェア リリースを確認するために、管理者はデバイスにログインし、CLI で show version コマンドを使用してコマンドの出力を参照できます。デバイスが Cisco FTD ソフトウェア リリース 6.2.0 を実行している場合、コマンドの出力例は次のようになります。

> show version

---------------------[ ftd ]---------------------
Model : Cisco ASA5525-X Threat Defense (75) Version 6.2.0 (Build 362)
UUID : 2849ba3c-ecb8-11e6-98ca-b9fc2975893c
Rules update version : 2017-03-15-001-vrt
VDB version : 279
----------------------------------------------------

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この脆弱性の影響を受けることが分かっています。

シスコは、この脆弱性が次のプラットフォームで実行される Cisco ASA ソフトウェアまたは FTD ソフトウェアに影響を与えないことを確認しました。

• ASA 1000V クラウド ファイアウォール
• ASA 5505 適応型セキュリティ アプライアンス ¹

^{1 ASA 5505 以外の ASA 5500 シリーズ適応型セキュリティ アプライアンスはサポートを終了したため、今後セキュリティ脆弱性に関する評価は行われません。}