Cisco ASA 5500シリーズ適応型セキュリティアプライアンスの複数の脆弱性

ダウンロードオプション

PDF (442.9 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (84.0 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (74.2 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2010 年 2 月 17 日

Document ID:null-null

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

High

Download CVRF Email

High

アドバイザリーID : cisco-sa-20100217-asa

初公開日 : 2010-02-17 16:00

バージョン 1.1 : Final

CVSSスコア : 7.8

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2010-0151

CVE-2010-0150

CVE-2010-0568

CVE-2010-0569

CVE-2010-0566

CVE-2010-0149

CVE-2010-0567

CVE-2010-0565

Download CVRF

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、次の脆弱性の影響を受けます。

TCP接続枯渇によるサービス妨害の脆弱性
Session Initiation Protocol(SIP)インスペクションに関するDoS脆弱性
Skinny Client Control Protocol(SCCP)インスペクションに関するDoS脆弱性
WebVPNデータグラムのTransport Layer Security(DTLS)におけるDoS脆弱性
巧妙に細工されたTCPセグメントにおけるDoS脆弱性
巧妙に細工されたインターネットキーエクスチェンジ(IKE)メッセージによるDoS脆弱性
NT LAN Managerバージョン1(NTLMv1)認証バイパスの脆弱性

これらの脆弱性は相互依存していないため、1つの脆弱性に該当するリリースが必ずしもその他の脆弱性に該当するとは限りません。

このアドバイザリで公開される脆弱性の一部には回避策があります。

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20100217-asa で公開されています。

該当製品

脆弱性のある製品

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスには、複数の脆弱性が存在します。影響を受けるCisco ASAソフトウェアのバージョンは、脆弱性によって異なります。個々のバージョン情報については、このアドバイザリの「ソフトウェアバージョンおよび修正」セクションを参照してください。

TCP接続枯渇によるサービス妨害の脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスでTCP接続枯渇状態が発生する場合があります（新しいTCP接続が受け入れられません）。この状態は、TCP接続の終了フェーズにおける特定のTCPセグメントの受信によって引き起こされる可能性があります。バージョン7.1.x、7.2.x、8.0.x、8.1.x、および8.2.xを実行しているアプライアンスは、次のいずれかの機能が設定されている場合に影響を受けます。

SSL VPN
Cisco Adaptive Security Device Manager(ASDM)管理アクセス
Telnet 経由のアクセス
SSHアクセス
仮想 Telnet
仮想 HTTP
暗号化音声インスペクション用のTransport Layer Security(TLS)プロキシ

SIPインスペクションに関するDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのSIPインスペクション機能には、2つのサービス拒否(DoS)脆弱性があります。バージョン7.0.x、7.1.x、7.2.x、8.0.x、8.1.x、および8.2.xが該当します。SIPインスペクションはデフォルトで有効になっています。

SIPインスペクションが有効になっているかどうかを確認するには、show service-policy | include sipコマンドを使用して、何らかの出力が返されることを確認します。出力例を次の例に示します。

ciscoasa#show service-policy | include sip
      Inspect: sip , packet 0, drop 0, reset-drop 0

また、SIPインスペクションが有効になっているアプライアンスの設定は次のようになります。

class-map inspection_default
 match default-inspection-traffic
!
policy-map global_policy
 class inspection_default
  ...
  inspect sip
  ...
!
service-policy global_policy global

SCCPインスペクションに関するDoS脆弱性

サービス拒否の脆弱性は、Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのSCCPインスペクション機能に影響します。バージョン8.0.x、8.1.x、および8.2.xが該当します。SCCPインスペクションはデフォルトで有効になっています。

SCCPインスペクションが有効になっているかどうかを確認するには、show service-policy | include skinnyコマンドを使用して、何らかの出力が返されることを確認します。出力例を次の例に示します。

ciscoasa#show service-policy | include skinny
      Inspect: skinny , packet 0, drop 0, reset-drop 0

また、SCCPインスペクションが有効になっているアプライアンスの設定は次のようになります。

class-map inspection_default
 match default-inspection-traffic
!
policy-map global_policy
 class inspection_default
  ...
  inspect skinny
  ...
!
service-policy global_policy global

WebVPN DTLSのDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、WebVPNおよびDTLSが有効な場合に存在するサービス拒否の脆弱性の影響を受けます。該当するバージョンは、7.1.x、7.2.x、8.0.x、8.1.x、および8.2.xです。管理者は、「webvpn」コンフィギュレーションモードでenable <interface name>コマンドを使用してWebVPNをイネーブルにできます。DTLSを有効にするには、「group policy webvpn」コンフィギュレーションモードでsvc dtls enableコマンドを発行します。次の設定スニペットは、DTLSを有効にするWebVPN設定の例を示しています。

webvpn
 enable outside
 svc enable
 ...
!
group-policy <group name> internal
group-policy <group name> attributes
 ...
 webvpn
  svc dtls enable
  ...

WebVPNはデフォルトで無効になっていますが、最近のソフトウェアリリースではDTLSはデフォルトで有効になっています。

巧妙に細工されたTCPセグメントにおけるDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、アプライアンスを通過する不正なTCPセグメントによって引き起こされるサービス拒否の脆弱性の影響を受けます。この脆弱性の影響を受けるのは、static文の最後にnailedオプションを使用する設定のみです。また、static文に一致するトラフィックは、インラインモードでCisco AIP-SSM(侵入防御システム(IPS)モジュール)によって検査される必要もあります。IPSインライン動作モードは、ips inline {fail-close | fail-open}コマンドを使用します。ソフトウェアバージョン7.0.x、7.1.x、7.2.x、8.0.x、8.1.x、および8.2.xを実行しているCisco ASA 5500シリーズ適応型セキュリティアプライアンスが影響を受けます。

巧妙に細工されたIKEメッセージによるDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンス(ASA)で終端するIPSecトンネルを介して送信される巧妙に細工されたIKEメッセージにより、同じデバイスで終端するすべてのIPSecトンネルが切断される可能性があります。バージョン7.0.x、7.1.x、7.2.x、8.0.x、8.1.x、および8.2.xが該当します。IKEはデフォルトでは有効になっていません。IKEが有効な場合、isakmp enable <interface name>コマンドが設定に表示されます。

NTLMv1認証バイパスの脆弱性

NTLMv1認証が設定されている場合、認証バイパスの脆弱性はCisco ASA 5500シリーズ適応型セキュリティアプライアンスに影響します。バージョン7.0.x、7.1.x、7.2.x、8.0.x、8.1.x、および8.2.xが該当します。管理者は、aaa-server <AAA server group tag> protocol ntコマンドでNTLMv1プロトコルを使用する認証、許可、アカウンティング(AAA)サーバグループを定義し、そのAAAサーバグループを使用するために認証を必要とするサービスを設定することによって、NTLMv1認証を設定できます。NTLMv1認証が有効でアクティブであることを確認するには、show aaa-server protocol ntコマンドを発行します。出力例を次の例に示します。

ciscoasa#show aaa-server protocol nt
Server Group:    test
Server Protocol: nt
Server Address:  192.168.10.11
Server port:     139
Server status:   ACTIVE, Last transaction (success) at 11:10:08 UTC  Fri Jan 29
<output truncated>

Cisco PIX 500シリーズセキュリティアプライアンスの脆弱性ステータス

Cisco PIX 500シリーズセキュリティアプライアンスは、次の脆弱性の影響を受けます。

TCP接続枯渇によるサービス妨害の脆弱性
SIPインスペクションに関するDoS脆弱性
SCCPインスペクションに関するDoS脆弱性
巧妙に細工されたIKEメッセージによるDoS脆弱性
NTLMv1認証バイパスの脆弱性

Cisco PIX 500シリーズセキュリティアプライアンスは2009年7月28日にソフトウェアメンテナンスリリースの終了を迎えているため、Cisco PIX 500シリーズセキュリティアプライアンスではこれ以上のソフトウェアリリースは提供されません。Cisco PIX 500シリーズセキュリティアプライアンスをご使用のお客様には、Cisco ASA 5500シリーズ適応型セキュリティアプライアンスに移行するか、このアドバイザリの「回避策」セクションに記載されている適用可能な回避策を実装することをお勧めします。修正済みソフトウェアは、Cisco ASA 5500シリーズ適応型セキュリティアプライアンスで使用できます。詳細については、http://www.cisco.com/en/US/prod/collateral/vpndevc/ps5708/ps5709/ps2030/end_of_life_notice_cisco_pix_525_sec_app.htmlでサポート終了のお知らせを参照してください。

実行中のソフトウェアバージョンの判別方法

脆弱性のあるバージョンのCisco ASAソフトウェアがアプライアンスで実行されているかどうかを確認するには、show versionコマンドラインインターフェイス(CLI)コマンドを使用します。次の例は、ソフトウェアバージョン8.0(4)を実行しているCisco ASA 5500シリーズ適応型セキュリティアプライアンスを示しています。

ASA#show version
Cisco Adaptive Security Appliance Software Version 8.0(4)
Device Manager Version 6.0(1)
<output truncated>

Cisco ASDMを使用してデバイスを管理している場合は、ログインウィンドウまたはCisco ASDMウィンドウの左上隅に表示される表でソフトウェアバージョンを確認できます。

脆弱性を含んでいないことが確認された製品

Cisco Firewall Services Module(FWSM)は、このアドバイザリに記載されている脆弱性の一部の影響を受けます。FWSMに影響する脆弱性に関しては、別途Cisco Security Advisoryが公開されています。このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20100217-fwsmで確認できます。

Cisco FWSMを除き、これらの脆弱性の影響を受けるシスコ製品は現在確認されていません。

詳細

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、セキュリティとVPNサービスを提供するモジュラプラットフォームです。ファイアウォール、侵入防御(IPS)、Anti-X、VPNサービスを提供します。

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、次の脆弱性の影響を受けます。

TCP接続枯渇によるサービス妨害の脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスでは、TCP接続の終了フェーズで特定のTCPセグメントが受信されると、TCP接続枯渇状態（新しいTCP接続が受け入れられません）が発生する場合があります。

この脆弱性は、特定のTCPセグメントが、該当アプライアンスで終端する特定のTCPベースサービスに送信された場合にのみ引き起こされます。この脆弱性の不正利用にはTCP 3ウェイハンドシェイクが必要ですが、認証は必要ありません。

この脆弱性は、Cisco Bug ID CSCsz77717(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-0149が割り当てられています。

SIPインスペクションに関するDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、SIPメッセージの処理中にアプライアンスのリロードを引き起こす可能性がある2つのDoS脆弱性の影響を受けます。アプライアンスは、SIPインスペクションが有効になっている場合にのみ脆弱です。

これらの脆弱性は通過トラフィックによってのみ引き起こされます。アプライアンス宛てのトラフィックはこの脆弱性を引き起こしません。

これらの脆弱性は、Cisco Bug ID CSCsy91157(登録ユーザ専用)およびCSCtc96018(登録ユーザ専用)として文書化され、それぞれCVE IDとしてCVE-2010-0150およびCVE-2010-0569が割り当てられています。

SCCPインスペクションに関するDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、不正なSkinny制御メッセージの処理中にアプライアンスのリロードを引き起こす可能性のある脆弱性の影響を受けます。アプライアンスは、SCCPインスペクションが有効になっている場合にのみ脆弱です。

この脆弱性は通過トラフィックによってのみ引き起こされます。アプライアンス宛てのトラフィックはこの脆弱性を引き起こしません。

この脆弱性は、Cisco Bug ID CSCsz79757(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-0151が割り当てられています。

WebVPN DTLSのDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、不正な形式のDTLSメッセージがDTLSポート（デフォルトではUDPポート443）に送信されたときにアプライアンスがリロードする可能性のある脆弱性の影響を受けます。アプライアンスは、WebVPNおよびDTLS転送用に設定されている場合にのみ脆弱です。

この脆弱性は、アプライアンス宛てのトラフィックによってのみ引き起こされます。通過トラフィックはこの脆弱性を引き起こしません。

この脆弱性は、Cisco Bug ID CSCtb64913(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-0565が割り当てられています。

巧妙に細工されたTCPセグメントにおけるDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスは、次の条件がすべて満たされると、アプライアンスのリロードを引き起こす可能性のある脆弱性の影響を受けます。

不正な形式のトランジットTCPセグメントが受信された。
TCPセグメントは、「nailed」オプションが設定されたスタティックNAT変換に一致します。
TCPセグメントはCisco AIP-SSMでも処理され、インラインモードで動作するように設定されています。

この脆弱性を不正利用するためにTCP 3ウェイハンドシェイクは必要ありません。

この脆弱性は、Cisco Bug ID CSCtb37219(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-0566が割り当てられています。

巧妙に細工されたIKEメッセージによるDoS脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスには、アプライアンスで終端するすべてのIPSecトンネルが切断され、新しいトンネルの確立が妨げられる可能性のある脆弱性が存在します。トンネルはすぐに切断されません。IPsecトラフィックは次のキー再生成が行われるまで流れ続け、その時点でキー再生成は失敗し、トンネルは切断されます。サイト間およびリモートアクセスVPNトンネルの両方が影響を受けます。この脆弱性は、アプライアンスが既存のIPSecトンネルを通過するポートUDP 4500で不正なIKEメッセージを処理すると引き起こされます。IPSec VPNトンネルを回復して再確立する唯一の方法は、アプライアンスをリロードすることです。

この脆弱性が不正利用されると、セキュリティアプライアンスはsyslogメッセージ713903および713906を生成し、それに続いてIPsecピアが失われます。

この脆弱性は、Cisco Bug ID CSCtc47782(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-0567が割り当てられています。

NTLMv1認証バイパスの脆弱性

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスには、NTLMv1プロトコルを使用してMicrosoft Windowsサーバに対してユーザを認証するように該当のアプライアンスが設定されている場合に、認証バイパスが発生する可能性のある脆弱性が存在します。

ユーザは、認証要求中に無効な巧妙に細工されたユーザ名を提供することで、認証をバイパスできます。NTLMv1認証プロトコルを使用するように設定されたAAAサーバグループを使用するサービスはすべて影響を受けます。影響を受けるサービスは次のとおりです。

セキュリティアプライアンスへのTelnetアクセス
セキュリティアプライアンスへの SSH アクセス
セキュリティアプライアンスへのHTTPSアクセス（Cisco ASDMアクセスを含む）
シリアルコンソールアクセス
特権（イネーブル）モードのアクセス
ネットワークアクセスのカットスループロキシ
VPNアクセス

この脆弱性は、Cisco Bug ID CSCte21953(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-0568が割り当てられています。

回避策

次に示す推奨事項の他に、ネットワーク内のCiscoデバイスに適用可能な緩和テクニックが、このアドバイザリに関連するCisco適用対応策速報(https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20100217-asa)で参照できます。

TCP接続枯渇によるサービス妨害の脆弱性

既知のクライアントに提供されるTCPベースのサービスに対してこの脆弱性を緩和することができます。たとえば、既知のホストやIPサブネットワークへのSSH、Cisco ASDM/HTTPS、およびTelnet管理アクセスを制限できます。リモートアクセスSSL VPNなど、不明なホストやネットワークからクライアントが接続する他のサービスでは、緩和策はありません。

SIPインスペクションに関するDoS脆弱性

これらの脆弱性は、不要な場合はSIPインスペクションを無効にすることで緩和できます。管理者は、ポリシーマップ設定内のクラス設定サブモードでno inspect sipコマンドを発行することにより、SIPインスペクションを無効にできます。

SCCPインスペクションに関するDoS脆弱性

この脆弱性は、SCCPインスペクションが不要な場合に無効にすることで軽減できます。管理者は、ポリシーマップ設定内のクラス設定サブモードでno inspect skinnyコマンドを発行することにより、SCCPインスペクションを無効にすることができます。

WebVPN DTLSのDoS脆弱性

この脆弱性は、WebVPNのDTLS転送を無効にすることで軽減できます。管理者は、対応するグループポリシーの「webvpn」属性セクションでno svc dtls enableコマンドを発行することにより、DTLSを無効にすることができます。

巧妙に細工されたTCPセグメントにおけるDoS脆弱性

この脆弱性に対して考えられる回避策は次のとおりです。

「固定」スタティックNATエントリからTCPステートバイパスに移行する
無差別モードでCisco AIP-SSMを使用するこのモードを設定するには、「class」コンフィギュレーションモードでips promiscuousコマンドを発行します。
「固定」スタティックNATエントリに対するIPSインスペクションを無効にする
可能であれば、「固定」スタティックNATエントリを標準スタティックNATエントリに変更します。

巧妙に細工されたIKEメッセージによるDoS脆弱性

この脆弱性の回避策は、UDPポート4500トラフィックがCisco ASA 5500シリーズ適応型セキュリティアプライアンスで終端するIPSecトンネルを通過しないようにすることです。ほとんどの場合、IPSecトンネル内でIPSecトンネルを許可する必要がないため、これは実現可能です。IPSecトンネルを通過するUDPポート4500トラフィックのフィルタリングは、次の例に示すように、VPNフィルタを使用して実行できます。


!-- Deny only UDP port 4500 traffic and allow everything else

access-list VPNFILTER extended deny udp any any eq 4500 
access-list VPNFILTER extended permit ip any any 


!-- Create a group policy and specify a VPN filter that uses the
!-- previous ACL

group-policy VPNPOL internal
group-policy VPNPOL attributes
 vpn-filter value VPNFILTER


!-- Reference the group policy with the VPN filter from the tunnel group

tunnel-group 172.16.0.1 type ipsec-l2l
tunnel-group 172.16.0.1 general-attributes
 default-group-policy VPNPOL

この回避策を有効にするには、グループポリシーをすべてのサイト間（トンネルタイプ「ipsec-l2l」）およびリモートアクセス（トンネルタイプ「ipsec-ra」）トンネルグループに適用する必要があります。

warning 警告：この回避策は、UDPポート4500でIKEトラフィックをフィルタリングするだけでなく、UDPポート4500でトラフィックを送信するDNSやSNMPなどの他のプロトコルにも影響を与える可能性があります。たとえば、DNSリゾルバがUDPポート4500からDNSサーバにトラフィックを送信する場合、DNSサーバからの応答はUDPポート4500宛てになります。これは、この回避策で使用するフィルタによってフィルタリングされる場合があります。

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのVPNフィルタ機能の包括的な例については、次のURLにあるホワイトペーパー『PIX/ASA 7.x and Later: VPN Filter (Permit Specific Port or Protocol) Configuration Example for L2L and Remote Access』を参照してください。

http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_configuration_example09186a00808c9a87.shtml

また、セキュリティアプライアンスによってトンネルが終端されない場合は、no isakmp enable <interface name>コマンドを発行してIKEを無効にすることで、この脆弱性を緩和できます。

NTLMv1認証バイパスの脆弱性

NTLMv1認証が必要な場合、この脆弱性に対する回避策はありません。NTLMv1認証を他の認証プロトコル（LDAP、RADIUS、TACACS+など）で代用できる場合は、この脆弱性を緩和できます。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレードソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンスプロバイダーにお問い合せください。

次の表に、各脆弱性に対する最初の修正済みソフトウェアリリースを示します。特定の行で特定のリリースのバージョン（First Fixed Releaseより前）を実行しているデバイスには、脆弱性が存在することが確認されています。

脆弱性	メジャーリリース	First Fixed Release（修正された最初のリリース）
TCP接続枯渇のDoS脆弱性(CSCsz77717)	7.0	Not affected
	7.2	7.2（4.46）
	8.0	8.0（4.38）
	8.1	8.1（2.29）
	8.2	8.2（1.5）
SIPインスペクションに関するDoS脆弱性(CSCsy91157およびCSCtc96018)	7.0	7.0（8.10）
	7.2	7.2（4.45）
	8.0	8.0（5.2）
	8.1	8.1（2.37）
	8.2	8.2（1.16）
SCCPインスペクションに関するDoS脆弱性(CSCsz79757)	7.0	Not affected
	7.2	Not affected
	8.0	8.0（4.38）
	8.1	8.1（2.29）
	8.2	8.2（1.2）
WebVPN DTLSのサービス拒否の脆弱性(CSCtb64913)	7.0	Not affected
	7.2	7.2（4.45）
	8.0	8.0（4.44）
	8.1	8.1（2.35）
	8.2	8.2（1.10）
巧妙に細工されたTCPセグメントにおけるDoS脆弱性(CSCtb37219)	7.0	7.0（8.10）
	7.2	7.2（4.45）
	8.0	8.0（4.44）
	8.1	8.1（2.35）
	8.2	8.2（1.10）
巧妙に細工されたIKEメッセージによるDoS脆弱性(CSCtc47782)	7.0	7.0（8.10）
	7.2	7.2（4.45）
	8.0	8.0（5.1）
	8.1	8.1（2.37）
	8.2	8.2（1.15）
NTLMv1認証バイパスの脆弱性(CSCte21953)	7.0	7.0（8.10）
	7.2	7.2（4.45）
	8.0	8.0（5.7）
	8.1	8.1(2.40)、2010年3月上旬に提供開始
	8.2	8.2（2.1）

注：Cisco ASAソフトウェアバージョン7.1.xは、このアドバイザリに記載されている一部の脆弱性の影響を受けます。ただし、7.1.xメジャーリリースはソフトウェアメンテナンスリリース終了のマイルストーンに達しているため、修正済みの7.1.xソフトウェアバージョンは計画されていません。詳細については、『Cisco ASA 5500シリーズ適応型セキュリティアプライアンスソフトウェアv7.1のEOL/EOS』を参照してください。

修正済みのCisco ASAソフトウェアは、次の場所からダウンロードできます。

http://www.cisco.com/pcgi-bin/tablebuild.pl/ASAPSIRT?psrtdcat20e2

推奨リリース

リリース7.0(8.10)、7.2(4.46)、8.0(5.9)、8.1(2.40)（2010年3月上旬に提供予定）、および8.2(2.4)は、このアドバイザリに記載されているすべての脆弱性に対する修正が含まれているため、推奨リリースです。シスコでは、これらの推奨リリース、またはそれ以降のリリースにアップグレードすることを推奨します。

推奨事項

$propertyAndFields.get("recommendations")

不正利用事例と公式発表

Cisco PSIRTでは、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

TCP接続枯渇によるサービス妨害の脆弱性

この脆弱性は、カスタマーサービスリクエストの解決中に発見されました。

SIPインスペクションに関するDoS脆弱性

CSCsy91157(登録ユーザ専用)は、内部テストで発見されました。CSCtc96018(登録ユーザ専用)は、カスタマーサービスリクエストの解決中に発見されました。

SCCPインスペクションに関するDoS脆弱性

この脆弱性は、お客様のサービスリクエストの解決中に発見されました。

WebVPN DTLSのDoS脆弱性

この脆弱性は、お客様のサービスリクエストの解決中に発見されました。

巧妙に細工されたTCPセグメントにおけるDoS脆弱性

この脆弱性はシスコ内部でのテストによって発見されました。

巧妙に細工されたIKEメッセージによるDoS脆弱性

この脆弱性は、お客様のサービスリクエストの解決中に発見されました。

NTLMv1認証バイパスの脆弱性

この脆弱性はシスコ内部でのテストによって発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20100217-asa

改訂履歴

リビジョン 1.1	2010年2月17日	「適用対応策速報」へのリンクを追加。
リビジョン 1.0	2010年2月17日	初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスの複数の脆弱性

ダウンロード オプション

偏向のない言語

翻訳について

High

Download CVRF Email

High

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

該当製品

脆弱性のある製品

TCP接続枯渇によるサービス妨害の脆弱性

SIPインスペクションに関するDoS脆弱性

SCCPインスペクションに関するDoS脆弱性

WebVPN DTLSのDoS脆弱性

巧妙に細工されたTCPセグメントにおけるDoS脆弱性

巧妙に細工されたIKEメッセージによるDoS脆弱性

NTLMv1認証バイパスの脆弱性

Cisco PIX 500シリーズセキュリティアプライアンスの脆弱性ステータス

実行中のソフトウェアバージョンの判別方法

脆弱性を含んでいないことが確認された製品

詳細

TCP接続枯渇によるサービス妨害の脆弱性

SIPインスペクションに関するDoS脆弱性

SCCPインスペクションに関するDoS脆弱性

WebVPN DTLSのDoS脆弱性

巧妙に細工されたTCPセグメントにおけるDoS脆弱性

巧妙に細工されたIKEメッセージによるDoS脆弱性

NTLMv1認証バイパスの脆弱性

回避策

TCP接続枯渇によるサービス妨害の脆弱性

SIPインスペクションに関するDoS脆弱性

SCCPインスペクションに関するDoS脆弱性

WebVPN DTLSのDoS脆弱性

巧妙に細工されたTCPセグメントにおけるDoS脆弱性

巧妙に細工されたIKEメッセージによるDoS脆弱性

NTLMv1認証バイパスの脆弱性

修正済みソフトウェア

推奨リリース

推奨事項

不正利用事例と公式発表

TCP接続枯渇によるサービス妨害の脆弱性

SIPインスペクションに関するDoS脆弱性

SCCPインスペクションに関するDoS脆弱性

WebVPN DTLSのDoS脆弱性

巧妙に細工されたTCPセグメントにおけるDoS脆弱性

巧妙に細工されたIKEメッセージによるDoS脆弱性

NTLMv1認証バイパスの脆弱性

URL

改訂履歴

利用規約

ダウンロードオプション