Cisco セキュア ブート ハードウェアの改ざんの脆弱性

アドバイザリーID : cisco-sa-20190513-secureboot

初公開日 : 2019-05-13 17:30

最終更新日 : 2019-11-20 17:23

バージョン 1.17 : Final

回避策 : No workarounds available

Cisco バグ ID : CSCvn77158 CSCvn77159 CSCvn77153 CSCvn77154 CSCvn77155 CSCvn77156 CSCvn77150 CSCvn77151 CSCvn77152 CSCvn89138 CSCvn89137 CSCvn77205 CSCvn77249 CSCvn77207 CSCvn77168 CSCvn77201 CSCvn77245 CSCvn77169 CSCvn77202 CSCvn77246 CSCvn77248 CSCvn77166 CSCvn77167 CSCvn77160 CSCvp42792 CSCvn77162 CSCvn77170 CSCvn89140 CSCvn77209 CSCvn89146 CSCvn89145 CSCvn89144 CSCvn89143 CSCvn77219 CSCvn77212 CSCvn77175 CSCvn77171 CSCvn77172 CSCvn77180 CSCvn77181 CSCvn89150 CSCvn77147 CSCvn77142 CSCvn77143 CSCvn77220 CSCvn77182 CSCvn77183 CSCvn77184 CSCvn77141 CSCvn77185 CSCvn77191

 

シスコ独自のセキュア ブート実装に含まれるハードウェア コンポーネントの 1 つに対するアクセス制御を処理するロジックの脆弱性により、認証されたローカルの攻撃者が該当コンポーネントに改ざんしたファームウェア イメージを書き込める危険性があります。この脆弱性はハードウェア ベースのセキュア ブートをサポートする複数のシスコ製品に影響を及ぼします。

この脆弱性は、セキュア ブート ハードウェア実装の Field Programmable Gate Array（FPGA）部分に対するオンプレミス アップデートを管理するコードの領域が適切にチェックされないことに起因します。昇格された特権を持ち、該当デバイスで動作する基盤となるオペレーティング システムにアクセスできる攻撃者が、FPGA に改ざんされたファームウェア イメージを書き込むことにより、この脆弱性をエクスプロイトする危険性があります。エクスプロイトが成功すると、デバイスが使用不能になる（ハードウェアの交換が必要になる）かセキュア ブート検証プロセスでの改ざんが可能になり、攻撃者が悪意のあるソフトウェア イメージインストールして起動する恐れがあります。

シスコでは、この脆弱性に対処するソフトウェア アップデートをリリースする予定です。この脆弱性に対処する回避策はありません。

このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190513-secureboot

攻撃者がこの脆弱性のエクスプロイトを試みるには、次の条件をすべて満たす必要があります。

• デバイスの特権管理アクセス権を持っている。
• デバイスで実行されている基盤となるオペレーティングシステムにアクセスできること。これは、サポートされている文書化されたメカニズムを使用するか、攻撃者にアクセスを提供する別の脆弱性を不正利用することで実現できます。
• プラットフォームに固有のエクスプロイトを作成したり、そのようなエクスプロイトにアクセスしたりできる。攻撃者が影響を受ける複数のプラットフォームでこの脆弱性のエクスプロイトを試みるには、それぞれのプラットフォームを調べてプラットフォームに固有のエクスプロイトを作成する必要があります。別のプラットフォームで調査プロセスを再利用できることもありますが、特定のハードウェア プラットフォーム向けに作成されたエクスプロイトが別のハードウェア プラットフォームに影響を与えることはないと思われます。

シスコでは、影響を受けるすべてのプラットフォームを対象としたソフトウェア修正プログラムの開発とリリースを進めています。ほとんどの場合、この脆弱性を修正するには、デバイスを正常に動作させるのに必要な下位レベルのハードウェア コンポーネントをオンプレミスで再プログラミングしなければなりません。このリプログラミング プロセスで障害が起きると、デバイスが使用不能になり、ハードウェアの交換が必要になることがあります。お客様におかれましては、お使いのプラットフォームに関連する Cisco Bug の Release Note Enclosure で次の情報を参照されることをお勧めします。

1. 再プログラミング プロセスでの障害につながり、デバイスが使用不能になる危険性がある原因
2. デバイスをリプログラミングするために必要なプラットフォーム固有の手順
3. 特定のデバイスで（修正が必要な）該当のファームウェア バージョンが実行されているのか、すでに修正済みのファームウェア バージョンが実行されているのかを確認するのに必要な手順

上記のリストの項目 2 と 3 の詳細は、各プラットフォームに固有の修正済みソフトウェア リリースとともに公開される製品のリリース ノートに記載される予定です。この製品のリリース ノートがこれらの項目に関する最新の情報源であるとお考えください。

セキュア ブートとそれに関連する Trustworthy テクノロジーの詳細については、Trustworthy テクノロジーのデータシートを参照してください。セキュアブートテクノロジーをサポートするすべてのシスコ製品のリストについては、次のリンクを参照してください。https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-secure-boot-product-list.pdf

この脆弱性に対処する回避策はありません。

Cisco IOS デバイスの強化ガイドにデバイスを強化して管理アクセスのセキュリティを確保する方法が記載されています。このドキュメントの推奨事項に従えば、この脆弱性の攻撃対象領域が縮小されます。

修正済みソフトウェアリリースの詳細については、本アドバイザリの「脆弱性のある製品」セクションに記載されている Cisco Bug ID を参照してください。

シスコでは、このアドバイザリに記載された脆弱性に対処する無償のソフトウェア アップデートを提供する予定です。お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットに対してのみとなります。そのようなソフトウェアアップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は以下のリンクに記載されたシスコのソフトウェアライセンスの条項に従うことに同意したことになります。
https://www.cisco.com/c/en/us/products/end-user-license-agreement.html

また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシスコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

ソフトウェアのアップグレードを検討する際には、[シスコのセキュリティアドバイザリおよびアラート（Cisco Security Advisories and Alerts）] ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

サービス契約をご利用でないお客様

シスコから直接購入したが Cisco Service Contract をご利用いただいていない場合、また、サードパーティベンダーから購入したが修正済みソフトウェアを POS から入手できない場合は、Cisco TAC に連絡してアップグレードを入手してください。
https://www.cisco.com/c/en/us/support/web/tsd-cisco-worldwide-contacts.html

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

この脆弱性は、2019 年 5 月 13 日に Red Balloon Security 社によって公開されました。

Cisco Product Security Incident Response Team（PSIRT）は、Cisco ASR 1001-X でこの脆弱性を示す概念実証コードの存在を認識しています。今のところ、この概念実証コードが公開されているという情報はありません。

このアドバイザリで説明されている脆弱性の悪用に関する情報は Cisco PSIRT に寄せられていません。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190513-secureboot

バージョン	説明	セクション	ステータス	日付
1.17	一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Final	2019 年 11 月 20 日
1.16	一部の製品の修正バージョンが更新されました。	脆弱性が存在する製品	Final	2019 年 9 月 6 日
1.15	脆弱性が存在する製品のリストを更新。	脆弱性が存在する製品	Final	2019 年 9 月 3 日
1.14	脆弱性が存在する製品のリストを更新。	脆弱性が存在する製品	Final	2019 月 8 月 21 日
1.13	一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Final	2019 年 8 月 2 日
1.12	一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Final	2019 年 7 月 17 日
1.11	一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Final	2019 年 6 月 28 日
1.10	脆弱性が存在する製品のリストを更新。一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Final	2019 年 6 月 17 日
1.9	脆弱性が存在する製品のリストを更新。一部の製品向けに修正プログラムの提供日を更新。ドキュメントのステータスを最終版に変更。アドバイザリが更新されることを示した文を削除（概要および脆弱性のある製品）。	概要および脆弱性のある製品	Final	2019 年 6 月 10 日
1.8	脆弱性が存在する製品のリストを更新。一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Interim	2019 年 5 月 30 日
1.7	脆弱性が存在する製品のリストを更新。一部の製品向けに修正プログラムの提供日を更新。セキュア ブートをサポートするシスコ製品リストのリンクを追加。	脆弱性が存在する製品、詳細	Interim	2019 年 5 月 23 日
1.6	脆弱性が存在する製品のリストを更新。一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Interim	2019 年 5 月 22 日
1.5	脆弱性が存在する製品のリストを更新。一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Interim	2019 年 5 月 20 日
1.4	脆弱性が存在する製品のリストを更新。一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Interim	2019 年 5 月 16 日
1.3	脆弱性が存在する製品のリストを更新。一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Interim	2019 年 5 月 15 日
1.2	脆弱性が存在する製品のリストを更新。一部の製品向けに修正プログラムの提供日を更新。	脆弱性が存在する製品	Interim	2019 年 5 月 14 日
1.1	脆弱性が存在する製品のリストを更新。Cisco Trustworthy テクノロジーのデータシートのリンクを追加。	脆弱性が存在する製品、詳細	Interim	2019 年 5 月 13 日
1.0	初回公開リリース	—	Interim	2019 年 5 月 13 日