Cisco Adaptive Security Appliance (ASA) のバッファオーバーフローの脆弱性（CVE-2016-6366）

何が起きた

Cisco ASA Software の SNMP（ネットワーク機器を離れた場所から管理・監視するしくみ）の処理に、バッファオーバーフローという弱点が見つかりました。細工した IPv4 の SNMP パケットを送られると、機器が再起動したり、任意のコードを動かされて機器を乗っ取られたりするおそれがあります。攻撃者はネットワーク経由で狙えますが、SNMP のコミュニティ文字列か、SNMP version 3 の正しいユーザー名とパスワードを知っている必要があります。CISA が実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

SNMP を有効にした ASA 5500、ASA 5500-X、ASA Services Module、ASA 1000V、ASAv、Firepower 9300 ASA Security Module、PIX、FWSM などが対象です。NVD の説明では 9.4.2.3 までの版が対象とされています。Cisco の勧告では、Firepower 4100 Series、Firepower Threat Defense Software、Industrial Security Appliance 3000 も対象に挙げられています。PIX と FWSM はサポートが終わっており、修正版は出ません。

何をすればいい

Cisco の勧告にある修正版へ更新されているか確認してください。たとえば 9.1 系は 9.1.7(9)、9.2 系は 9.2.4(14)、9.4 系は 9.4.3(8)、9.6 系（ASA）は 9.6.2 以降が修正版で、7.2 から 8.7 系は 9.1.7(9) 以降へ移行するよう案内されています。すぐに更新できない場合、Cisco は SNMP を使える相手を信頼できる利用者だけに限ることと、コミュニティ文字列を推測されにくいものにして定期的に変えることを勧めています。公式の案内も確認してください。

やることチェックリスト

• ASA を 9.1.7(9) など修正版以降に更新する
• SNMP の接続を信頼できる利用者だけに制限する
• コミュニティ文字列を推測されにくいものに変更する

用語メモ

SNMP

ネットワーク機器の状態を離れた場所から確かめたり、設定したりするための通信のしくみです。

バッファオーバーフロー

決められた大きさを超えるデータが書き込まれ、メモリのほかの部分を壊してしまう不具合です。攻撃に使われることがあります。

コミュニティ文字列

SNMP で機器の情報を読み書きするときに使う、合言葉のような文字列です。