CiscoFirepower脅威対策ソフトウェアのSnort 3検出エンジンにおけるDoS脆弱性

公開時点では、この脆弱性はCisco FTDソフトウェアの脆弱性が存在するリリースを実行しているデバイスに影響を与え、次の条件の両方に該当していました。

• デバイスはSnort 3を実行していました。
• デバイスは、TLS 1.3復号化が有効なSSLポリシーを使用していました。

脆弱性が存在する Cisco ソフトウェアリリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。 

Cisco FTDソフトウェアのSnort設定の確認

Snort 3がCisco FTDソフトウェアで実行されているかどうかを確認するには、「Firepower脅威対策(FTD)で実行されているアクティブなSnortのバージョンの判別」を参照してください。この脆弱性を不正利用するには、Snort 3をアクティブにする必要があります。

Cisco FTDソフトウェアのSSLポリシー設定の確認

SSL復号化ポリシーはデフォルトでは設定されていません。 

FTDソフトウェアCLIを使用したCisco FTDソフトウェアSSLポリシー設定の確認

Cisco FTDソフトウェアを実行しているデバイスにSSLポリシーが設定されているかどうかを確認するには、Cisco FTDソフトウェアのCLIにログインし、show ssl-policy-configコマンドを使用します。

コマンドの出力に「SSL policy not yet applied」と表示されている場合、次の例に示すように、デバイスはこの脆弱性の影響を受けません。

>show ssl-policy-config
SSL policy not yet applied

コマンド出力にポリシーが示されている場合、デバイスにはSSLポリシーが適用されており、TLS 1.3復号化が有効になっている場合、次の例に示すように、この脆弱性の影響を受ける可能性があります。

> show ssl-policy-config
===================[ CSCwc59953 ]===================
=================[ Default Action ]=================
Default Action            : Do Not Decrypt
...

CiscoFirepowerデバイスマネージャソフトウェアで管理されているデバイスのCisco FTDソフトウェアSSLポリシー設定の確認

CiscoFirepowerデバイスマネージャ(FDM)ソフトウェアで管理されているデバイスにSSLポリシーが設定されているかどうかを確認するには、次の手順を実行します。

1. Cisco FTDソフトウェアのWebインターフェイスにログインします。
2. メインメニューから [ポリシー（Policies）] を選択します。
3. SSL Decryptionタブを選択します。
• SSL復号化が有効になっていない場合、デバイスはこの脆弱性の影響を受けません。
• ポリシー名がリストされている場合、TLS 1.3復号化が有効になっていれば、デバイスはこの脆弱性の影響を受ける可能性があります。

SSL復号化ポリシーの詳細については、『Firepower Device Manager用CiscoFirepower脅威対策コンフィギュレーションガイド』の「SSL復号化」の章を参照してください。

Cisco Software Management Centerソフトウェアによって管理されるデバイスのCisco FTDFirepowerSSLポリシー設定の確認

SSLポリシーが、Cisco Network Management Center(FMC)ソフトウェアによって管理されるFirepowerに設定されているかどうかを確認するには、次の手順を実行します。

1. Cisco FMCソフトウェアWebインターフェイスにログインします。
2. [ポリシー（Policies）] メニューから [アクセス制御（Access Control）] を選択します。
3. 適切なアクセスコントロールポリシーを選択します。
4. [編集（Edit）] アイコン（鉛筆の形）をクリックします。
5. SSL Policy領域を確認します。
   
   • Noneがリストされている場合、そのデバイスはこの脆弱性の影響を受けません。
   • Policy Nameがリストされている場合、TLS 1.3 Decryptionが有効になっていると、デバイスはこの脆弱性の影響を受ける可能性があります。

SSL復号化ポリシーの詳細については、『Cisco Secure Firewall Management Centerコンフィギュレーションガイド』の「SSLポリシー」の章を参照してください。

Cisco Defense Orchestratorによって管理されるデバイスのCisco FTDソフトウェアSSLポリシー設定の確認 

Cisco Defense Orchestratorで管理されているデバイスにSSLポリシーが設定されているかどうかを確認するには、次の手順を実行します。

1. Cisco Defense Orchestrator Web インターフェイスにログインします。
2. Cisco Defense OrchestratorのPoliciesメニューから、FTD Policiesを選択します。
3. FTDのPoliciesメニューから、Access Controlを選択します。
4. 適切なアクセスコントロールポリシーを選択します。
5. [編集（Edit）] アイコン（鉛筆の形）をクリックします。
6. Decryption Policy領域を調べます。
• Noneがリストされている場合、そのデバイスはこの脆弱性の影響を受けません。
• Policy Nameがリストされている場合、TLS 1.3 Decryptionが有効になっていると、デバイスはこの脆弱性の影響を受ける可能性があります。

Cisco Defense Orchestrator管理対象デバイスの詳細については、Cisco Defense Orchestratorのドキュメントを参照してください。

Cisco Defense Orchestratorで管理されているCisco FMCデバイスのSSL復号化ポリシーの詳細については、『Managing Firewall Threat Defense with Cloud-delivered Firewall Management Center in Cisco Defense Orchestrator』の「復号化ポリシー」の章を参照してください。

Cisco Defense Orchestratorで管理されるCisco FDMデバイスのSSL復号化ポリシーの詳細については、『Cisco Defense OrchestratorでのFDMデバイスの管理』ガイドの「SSL復号化ポリシー」セクションを参照してください。 

Cisco FTDソフトウェアのTLS 1.3復号化設定の確認

TLS 1.3復号化のデフォルト設定は、SSLポリシーを設定するときのプラットフォームによって異なります。Cisco FDM制御デバイスのTLS 1.3復号化は、Cisco FTDリリース7.3.0まで提供されないことに注意してください。TLS 1.3の復号化は、Cisco FMCおよびCisco Defense Orchestratorによって管理されるデバイス用のCisco FTDリリース7.2.0で提供されます。

プラットフォームのデフォルト設定は次のとおりです。

• TLS 1.3復号化は、Cisco FDMソフトウェアによって管理されるデバイスではデフォルトで有効になっていません。
• Cisco FMCソフトウェアで管理されているデバイスでは、TLS 1.3復号化はデフォルトで有効になっていません。
• Cisco Discovery Orchestratorソフトウェアによって管理されるデバイスでは、TLS 1.3の復号化がデフォルトで有効になっています。

FTDソフトウェアCLIを使用したCisco FTDソフトウェアTLS 1.3復号化設定の確認

CLIでデバイスにTLS 1.3復号化が設定されているかどうかを確認するには、Cisco FTDソフトウェアCLIにログインし、grep tls13 /ngfw/var/sf/detection_engines/*/ssl/ssl.rulesコマンドを使用します。

• コマンドの出力に「tls13_decryption」「false」が表示された場合、そのデバイスはこの脆弱性の影響を受けません。
• コマンドの出力に何も表示されない場合、デバイスはこの脆弱性の影響を受けません。
• コマンドの出力に「tls13_decryption」「true」と表示される場合、デバイスにSSLポリシーが適用されており、TLS 1.3の復号化が有効になっている場合にこの脆弱性の影響を受ける可能性があります。次に例を示します。

> expert
admin@ftd:~$
admin@ftd:~$grep tls13 /ngfw/var/sf/detection_engines/*/ssl/ssl.rules               
   "tls13_decryption" "true";

Cisco FDMソフトウェアで管理されるデバイスのCisco FTDソフトウェアTLS 1.3復号化設定の確認

Cisco FDMソフトウェアによって管理されているデバイスでTLS 1.3復号化が設定されているかどうかを確認するには、次の手順を実行します。

1. Cisco FTDソフトウェアのWebインターフェイスにログインします。
2. メインメニューから [ポリシー（Policies）] を選択します。
3. SSL Decryptionタブを選択します。
4. SSL Decryption Settingsボタンをクリックします。
5. [詳細] タブをクリックします。
• TLS 1.3 Decryptionスライダが有効になっていない場合、そのデバイスはこの脆弱性の影響を受けません。
• TLS 1.3 TLS 1.3 Decryptionスライダが有効になっている場合、デバイスはこの脆弱性の影響を受けます。

TLS 1.3の復号化の詳細については、『Firepower Device Manager用CiscoFirepower脅威対策コンフィギュレーションガイド』の「高度なトラフィックおよび復号化できないトラフィックの設定」セクションを参照してください。

Cisco FMCソフトウェアによって管理されるデバイスのCisco FTDソフトウェアTLS 1.3復号化設定の確認

Cisco FMCソフトウェアで管理されているデバイスでTLS 1.3復号化が設定されているかどうかを確認するには、次の手順を実行します。

1. Cisco FMCソフトウェアWebインターフェイスにログインします。
2. Policiesメニューから、SSLを選択します。
3. 適切なSSLポリシーを選択します。
4. [編集（Edit）] アイコン（鉛筆の形）をクリックします。
5. Advanced Settingsタブをクリックします。
   • Enable TLS 1.3 Decryptionボックスにチェックマークが入っていない場合、そのデバイスはこの脆弱性の影響を受けません。
   • Enable TLS 1.3 Decryptionボックスにチェックマークが入っている場合、そのデバイスはこの脆弱性の影響を受けます。

TLS 1.3の復号化の詳細については、『Cisco Secure Firewall Management Centerコンフィギュレーションガイド』の「SSLポリシーの詳細オプション」セクションを参照してください。

Cisco Defense Orchestratorソフトウェアで管理されるデバイスのCisco FTDソフトウェアTLS 1.3復号化設定の確認

Cisco Defense Orchestratorで管理されているデバイスでTLS 1.3復号化が設定されているかどうかを確認するには、次の手順を実行します。

1. Cisco Defense Orchestrator Web インターフェイスにログインします。
2. Cisco Defense OrchestratorのPoliciesメニューから、FTD Policiesを選択します。
3. FTDのPoliciesメニューから、Decryptionを選択します。
4. 適切な復号化ポリシーを選択します。
5. [編集（Edit）] アイコン（鉛筆の形）をクリックします。
6. Advanced Settingsタブをクリックします。
   • Enable TLS 1.3 Decryptionが有効になっていない場合、そのデバイスはこの脆弱性の影響を受けません。
   • Enable TLS 1.3 Decryptionが有効になっている場合、デバイスはこの脆弱性の影響を受けます。

Cisco Defense Orchestratorによって管理されるデバイスの詳細については、Cisco Defense Orchestratorのマニュアルを参照してください。

TLS 1.3の復号化の詳細については、『Managing Firewall Threat Defense with Cloud-Delivered Firewall Management Center in Cisco Defense Orchestrator』の「Decryption Policy Advanced Options」セクションを参照してください。

Cisco Defense Orchestratorで管理されているCisco FDMデバイスのTLS 1.3復号化の詳細については、『Cisco Defense OrchestratorでのFDMデバイスの管理』の「SSL復号化ポリシー」セクションを参照してください。 

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この脆弱性の影響を受けることが分かっています。

シスコは、この脆弱性が以下の製品には影響を与えないことを確認しました。

• Cisco 適応型セキュリティ アプライアンス（ASA）ソフトウェア
• Cisco FMC ソフトウェア
• オープンソースSnort 2
• オープンソースSnort 3