シスコシステムズ社製品のヒープベース・バッファーオーバーフロー脆弱性への対応について
掲載日:2006年2月24日
シスコシステムズ社よりシスコ製品の「ヒープベース・バッファーオーバーフローに関する脆弱性」の存在が報告されています。脆弱性の概要と弊社の対応方針をご連絡致します。
I. 概要
ある特定バージョンのIOSにおいてヒープベース・バッファーオーバーフローの脆弱性が存在します。遠隔からの攻撃により、ヒープベース・バッファーオーバーフローの脆弱性の利用に成功した場合は、不正利用によって動作メモリの内容に不整合が生じ、ルータがクラッシュし再起動等が発生し、サービスの妨害が発生します。
詳細は、シスコシステムズ社下記URLを参照下さい。
（英文[正式版]）
Cisco Security Advisory: IOS Heap-based Overflow Vulnerability in System Timers
（和文）
Cisco Security Advisory: IOS Heap-based Overflow Vulnerability in System Timers
1．事象
ある特定バージョンのIOSで動作しているCISCO製品は、悪意のある攻撃があった場合、攻撃が成功する可能性があります。攻撃が成功した場合、システムメモリの内容を不正にさせ、そのメモリ状態を定期的にモニターしているCheck Heapsプロセスが検知することにより、システム再起動が引き起こされます。攻撃方法によっては、直ちにデバイスのクラッシュを発生することなく、コードの実行が行われる可能性があります。
なお、ある特定のバージョンのIOSで動作しているCISCO製品であっても、悪意のある攻撃がない場合には本件の脆弱性には該当しません。
また、シスコ社ではこの脆弱性を利用した不正利用事例は確認されておりません。
2．該当製品
「特定バージョンのIOSで動作している全てのシスコルータやスイッチ」が該当し、富士通取扱シスコ製品に関しては、下記の製品が対象となります。
- Cisco 7600シリーズ
- Cisco 7200、7200VXR、7300、7500 シリーズ
- Cisco 3800、3700、3600、2800シリーズ
- Cisco 2600、2500、1800、1700、800シリーズ
- Catalyst 6000、4500、4900シリーズ
- Catalyst 3750、3560、3550、2970、2950、2940シリーズ
- Aironetシリーズ
但し、上記の製品であっても、対象外の製品のIOS Versionがあります。
詳細は、シスコシステムズ社下記URLを参照下さい。
Cisco Security Advisory: IOS Heap-based Overflow Vulnerability in System Timers
3．恒久対策
脆弱性対処済みバージョンへのバージョンアップにて、恒久的な対策を行うことが出来ます。脆弱性対処済みバージョン情報は、シスコシステムズ社 下記URL のSoftware Versions and Fixesを参照下さい。
Cisco Security Advisory: Crafted IPv6 Packet Causes Reload
Cisco Security Advisory: IOS Heap-based Overflow Vulnerability in System Timers
4．その他
インターネットへ接続した環境等では、該当Cisco製品に対し、任意の端末からexploitsに代表される悪意のある攻撃を直接受ける可能性があります。
しかしながら、該当Cisco製品に対しインターネットからの直接通信ができない等、悪意のある攻撃を受けにくい環境では、事象が発生する可能性が極めて低いものと考えられます。
（英文[正式版]）
Cisco Security Advisory: IOS Heap-based Overflow Vulnerability in System Timers
（和文）
Cisco Security Advisory: IOS Heap-based Overflow Vulnerability in System Timers
II. 弊社の対応
1．対応方法
富士通取扱シスコ製品に関しては、脆弱性対応済みIOSソフトウェアを無償でご提供いたします。購入頂いた販売会社または弊社担当営業にご依頼下さい。
＜ソフトウェアインストール作業の代行について＞
弊社技術員によるIOSソフトウェアインストール作業をご希望の場合は、別途有償にて請け賜ります。販売会社または弊社担当営業にご依頼下さい。
2．注意事項
2.1 回避策の適用について
回避策を講じる場合、その設定作業などはお客様の作業になります。
2.2 恒久対策の適用について
リリースされた脆弱性対処済みIOSを適用する場合には、下記の点に注意願います。
(1) お客様のシステムに対応した脆弱性対処済みIOSの選定、バージョンアップ時に必要なメモリ容量の調査についてはお客様の作業になります。
(2)IOSを変更した場合、FLASH/DRAMの容量が不足する場合が有ります。FLASH/DRAMメモリ容量が不足する場合には、お客様に追加のメモリをご購入頂く必要が有ります。変更する前にFLASH/DRAMの容量を確認して下さい。FLASH/DRAM必要容量に関しては、シスコシステムズ社ホームページのRelease Notesを参照して下さい。
