目次

要約
詳細
脆弱性スコア詳細
影響
ソフトウエアバージョン及び修正
回避策
修正済みソフトウェアの入手
不正利用事例と公式発表
この通知のステータス: FINAL
情報配信
更新履歴
シスコセキュリティ手順

これらの脆弱性は、SIPによる音声サービスを有効にしているCisco IOSデバイスのみが影響を受けます。

脆弱性のある製品

脆弱性が存在しない製品

SIPはインターネットなどのIP ネットワーク上で音声やビデオを制御するために使用される、よく知られたシグナリングプロトコルです。 SIPプロトコルは、コールの開始および終了の全ての処理を行う役割があります。SIPが処理を行うプロトコルとして、音声およびビデオが最も知られていますが、コールの開始および終了を必要とする他のアプリケーションに対しても柔軟に対応するプロトコルです。 SIP コール シグナリングは, 転送プロトコルとして UDP (ポート5060)、TCP (ポート5060)、またはTLS (TCPポート5061)を使用します。

複数のサービス拒絶の脆弱性がCisco IOSのSIPの実装に存在します。 いずれの場合も、脆弱性は特定の正常なSIPメッセージを処理することによって引き起こされます。

メモリリークの脆弱性

CSCse56800(登録ユーザのみ)は、影響を受けるデバイスにおいてメモリリークの原因となります。 メモリリークは特定のタイプの正常なSIPメッセージの処理によって引き起こされ、Cisco IOSデバイスが動作していたとしても結果的に音声サービスの動作を停止させる可能性があります。 この脆弱性には Common Vulnerabilities and Exposures (CVE) ID CVE-2008-3799が割り当てられています。

デバイスのリロード脆弱性

次の脆弱性は、いくつかの特定の正常なSIPメッセージを処理する事によって、Cisco IOS デバイスのリロードを引き起こす可能性があります:

• CSCsg91306 (登録ユーザのみ) CVE ID CVE-2008-3800として登録
  
• CSCsl62609 (登録ユーザのみ) CVE ID CVE-2008-3801として登録
  
• CSCsk42759 (登録ユーザのみ) CVE ID CVE-2008-3802として登録
  

シスコは Common Vulnerability Scoring System（CVSS）の Version 2.0に基づいた脆弱性のスコアリングを提供しています。

CVSSは、脆弱性、重要度を示唆するもので、優先度、緊急性を決定する手助けとなる標準ベースの評価法です。

シスコは基本評価 （Base Score） および現状評価スコア （Temporal Score） を提供いたします。 お客様はこれらを用いて環境評価スコア （Environmental Score） を算出し、個々のネットワークにおける脆弱性の影響度を導き出すことができます。

シスコは以下の URLにてCVSSに関するFAQを提供しています。

http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html

またシスコは個々のネットワークにおける環境影響度を算出するツールを以下のURLにて提供しています。

http://intellishield.cisco.com/security/alertmanager/cvss

この資料に記載された脆弱性の不正利用に成功すると、結果としてデバイスのリロードが発生します。 この不正利用が継続的に実行されると、サービス拒絶(DoS)状態となる可能性があります。

ソフトウェアのアップグレードを検討する際には、http://www.cisco.com/go/psirt およびそれ以降のアドバイザリも参照して、起こりうる障害と完全なアップグレード ソリューションを判断してください

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。 情報が不明確な場合は、シスコ Technical Assistance Center（TAC） もしくは契約している保守会社にお問い合せください。

Cisco IOSソフトウェアテーブル(下記)の各行はCisco IOSのリリーストレインを示します。あるリリーストレインが脆弱である場合、修正を含む最初のリリースは、表の "First Fixed Release" 列に示されます(入手可能予想日が示される場合もあります)。"Recommended Release" 列は、公開された全てのアドバイザリの修正を含むリリースを示します。実行しているリリースが、そのトレインで "First Fixed Release" 以前のものである場合、機器が脆弱であることが知られています。 Ciscoはテーブルの "Recommended Releases" 列のリリース、またはそれ以降のリリースにアップグレードすることを推奨します。

影響を受けるCisco IOSデバイスがVoice over IPサービスの提供を必要とするためにSIPを無効にすることができない場合、これらの脆弱性に対して有効な回避策は存在しません。ユーザは、これらの脆弱性の露出を限定するために、緩和策を適用することが望まれます。緩和策は、ルータへのアクセスを正当なデバイスだけに許可することです。 その効果を高めるために、その緩和策は、ネットワークエッジにてアンチスプーフィングとともに設定される必要があります。 SIPが転送プロトコルとしてUDPを使用することができるために、このアクションが必要となります。

ネットワーク内のシスコ機器に適用可能な他の緩和策は、このアドバイザリの付属ドキュメントである Cisco Applied Mitigation Bulletin にて参照できます: http://www.cisco.com/warp/public/707/cisco-amb-20080924-sip.shtml

SIPリスニングポートの無効化

SIPを有効にする必要のないデバイスに関しては、最も簡単で効果的な回避策はデバイスでSIPのプロセスを無効にすることです。 いくつかのCisco IOSのバージョンでは、管理者が次のコマンドで無効化を実行する事が可能です:

sip-ua
 no transport udp
 no transport tcp

警告： MGCP或いはH.323のコールを処理しているデバイス上でこの回避策を適用する場合、アクティブ・コールが処理されている間はSIPのプロセスを停止することが許可されません。 このような状況では、アクティブ・コールを停止することができるメインテナンスタイムの間に回避策を設定するべきです。

この対応策を適用した後、Cisco IOSデバイスがSIPメッセージを処理していないことを確認するために、"脆弱性のある製品"の項で説明されているshowコマンドを使用することをお奨めします。

コントロール プレーン ポリシング

SIPサービスを必要とするデバイスに関しては、信頼できない発信元からのSIPトラフィックをブロックするために、Control Plane Policing(CoPP)を使用することが可能です。 Cisco IOSソフトウェアリリース12.0S、12.2SX、12.2S、12.3T、12.4、および12.4TがCoPP機能をサポートしています。 CoPPをデバイスに設定することにより、既存のセキュリティーポリシーとコンフィギュレーションに従って、明示的に認定されたトラフィックだけがインフラストラクチャデバイス宛に送信されることを許可され、インフラストラクチャへの直接攻撃のリスクとその効果を最小限に抑え、管理およびコントロールプレーンが保護されます。以下はネットワークへの適応例です。:

!-- The 192.168.1.0/24 network and the 172.16.1.1 host are trusted.
!-- Everything else is not trusted. The following access list is used
!-- to determine what traffic needs to be dropped by a control plane
!-- policy (the CoPP feature.) If the access list matches (permit)
!-- then traffic will be dropped and if the access list does not
!-- match (deny) then traffic will be processed by the router.
access-list 100 deny udp 192.168.1.0 0.0.0.255 any eq 5060
access-list 100 deny tcp 192.168.1.0 0.0.0.255 any eq 5060
access-list 100 deny tcp 192.168.1.0 0.0.0.255 any eq 5061
access-list 100 deny udp host 172.16.1.1 any eq 5060
access-list 100 deny tcp host 172.16.1.1 any eq 5060
access-list 100 deny tcp host 172.16.1.1 any eq 5061
access-list 100 permit udp any any eq 5060
access-list 100 permit tcp any any eq 5060
access-list 100 permit tcp any any eq 5061

!-- Permit (Police or Drop)/Deny (Allow) all other Layer3 and Layer4
!-- traffic in accordance with existing security policies and
!-- configurations for traffic that is authorized to be sent
!-- to infrastructure devices.

!-- Create a Class-Map for traffic to be policed by
!-- the CoPP feature.
class-map match-all drop-sip-class
  match access-group 100

!-- Create a Policy-Map that will be applied to the
!-- Control-Plane of the device.
policy-map drop-sip-traffic
 class drop-sip-class
  drop

!-- Apply the Policy-Map to the Control-Plane of the
!-- device.
control-plane
 service-policy input drop-sip-traffic

警告： SIPは転送プロトコルとしてUDPを使用することから、容易に送信元のIPアドレスを偽装することが可能なため、信頼されたIPアドレスからのこれらのポートへの通信を許可するACLが破られるかもしれません。

上記のCoPPの設定例では、アクセス コントロール リスト エントリー(ACE)のpermitアクションに一致し、攻撃である可能性のあるパケットはpolicy-map "drop"によって破棄され、(表示されていない)denyアクションと一致するパケットはpolicy-map "drop"の影響を受けません。 CoPP機能の設定と使用法に関するその他の情報は、こちらを参照してください。http://www.cisco.com/en/US/products/ps6642/products_white_paper0900aecd804fa16a.shtmlおよびhttp://www.cisco.com/en/US/products/sw/iosswrel/ps1838/products_feature_guide09186a008052446b.html

Ciscoはこれらの脆弱性対応用の無償ソフトウェアを提供しています。 ソフトウェアの導入を行う前に、機能のソフトウェアの互換性およびお客様のネットワーク環境に特有の問題に関して確認いただくか、あるいはお客様のメンテナンスプロバイダーにご相談ください。

お客様がインストールしたり、サポートを受けたりできるのは、ご購入いただいたフィーチャーセットに対してのみとなります。 そのようなソフトウェア アップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様はhttp://www.cisco.com/en/US/products/prod_warranties_item09186a008088e31f.htmlにあるシスコのソフトウェア ライセンスの条項または http://www.cisco.com/public/sw-center/sw-usingswc.shtml にある Cisco.com のダウンロードに示されるその他の条項に従うことに同意したことになります。

ソフトウェアのアップグレードに関し、"psirt@cisco.com" もしくは "security-alert@cisco.com" にお問い合わせいただくことはご遠慮ください。

ご契約を有するお客様

サードパーティのサポート会社をご利用のお客様

サービス契約をご利用でないお客様

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

これらの脆弱性はCisco内部の試験とお客様のサービスリクエストにおいて発見されました。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証を示唆するものでもありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 Ciscoはこの文書をいつでも変更するか、またはアップデートする権利を所有します。

後述する情報配信の URL を省略し、本アドバイザリの記述内容に関して、独自の複製・ 意訳を実施した場合には、事実誤認ないし重要な情報の欠落を含む統制不可能な情報の伝搬が行われる可能性があります。

本アドバイザリーは、以下のシスコのワールドワイドウェブサイト上に掲載されます。

http://www.cisco.com/warp/public/707/cisco-sa-20080924-sip.shtml

ワールドワイドのウェブ以外にも、次の電子メールおよび Usenet ニュースの受信者向けに、この通知のテキスト版がシスコ PSIRT PGP キーによるクリア署名つきで投稿されています。

• cust-security-announce@cisco.com
• first-bulletins@lists.first.org
• bugtraq@securityfocus.com
• vulnwatch@vulnwatch.org
• cisco@spot.colorado.edu
• cisco-nsp@puck.nether.net
• full-disclosure@lists.grok.org.uk
• comp.dcom.sys.cisco@newsgate.cisco.com

この通知に関する今後の最新情報は、いかなるものもシスコのワールドワイドウェブに掲載される予定です。しかしながら、前述のメーリングリストもしくは ニュースグループに 対し積極的に配信されるとは限りません。この問題に関心があるお客様は上記 URL にて最 新情報をご確認いただくことをお勧めいたします。 この問題について心配するユーザはあらゆるアップデートがあるように上のURLを確認するように勧められます。

Cisco製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関する支援、およびCiscoからセキュリティ情報を入手するための登録方法について詳しく知るには、Ciscoワールドワイドウェブサイトの http://www.cisco.com/en/US/products/products_security_vulnerability_policy.htm にアクセスしてください。 このページにはCiscoのセキュリティ通知に関してメディアが問い合わせる際の指示が掲載されています。 全てのCiscoセキュリティアドバイザリは http://www.cisco.com/go/psirt で確認することができます。