Cisco ASA 5500シリーズのClientless VPNにおける脆弱性への対応について

掲載日：2012年5月22日

2012年3月14日シスコシステムズ社より、Cisco ASA 5500 シリーズのClientless VPN (WebVPN) の脆弱性に関するセキュリティアドバイザリが公開されました。脆弱性の概要と弊社の対応方針をご連絡いたします。

1.概要

シスコシステムズ社より2012年3月14日に公開されたCisco ASA 5500 シリーズのClientless VPNの脆弱性に関するセキュリティアドバイザリには1件の脆弱性に関する内容が含まれています。
脆弱性の概要、および回避策は以下の通りです。詳細については、セキュリティアドバイザリのURL（英文・和文）をご参照ください。

（英文）
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120314-asaclient
（和文）
http://www.cisco.com/cisco/web/support/JP/111/1110/1110667_cisco-sa-20120314-asaclient-j.html

※注意※
本概要については、2012年4月11日時点での情報を元に弊社にて要約を行ったものとなります。詳細・最新情報は英文（正式版）URLにてご確認をお願いいたします。

1-1.脆弱性について

1-1-1.事象について

ASA5500シリーズのClientless VPN (WebVPN) 機能を使用することでユーザーPCにActiveXコントロール(cscopf.ocx)がダウンロードされている場合、当該ActiveXコントロールにおけるバッファオーバーフローの脆弱性により、ユーザーPCは攻撃者から任意のコードを実行される恐れがあります。なお、当該ActiveXコントロール(cscopf.ocx)がインストールされていないPCは本脆弱性の影響を受けません。

1-1-2.該当製品

Cisco ASA 5500 シリーズ
※ご使用のソフトウェアが該当するかについては、上記アドバイザリURL内の「Affected Products」（英文）、「該当製品」（和文）をご参照ください。

1-1-3.恒久対策

下記の2つの対策を実施することにより、恒久的な対策を行うことができます。
(1) 脆弱性の修正を含むASAソフトウェアへのバージョンアップ
(2) 脆弱性のあるActiveXコントロール (cscopf.ocx) の無効化(レジストリの変更)

なお、(1)の脆弱性の修正を含むバージョンについては、上記アドバイザリURL内の「Software Versions and Fixes」(英文)、または「ソフトウェアバージョンおよび修正」(和文)を、(2)のActiveXコントロールの無効化については「Workarounds」(英文)、または「回避策」(和文)をそれぞれご参照ください。

1-1-4.回避策

脆弱性のあるActiveXコントロール (cscopf.ocx) の無効化により回避が可能です。

2．弊社の対応

2-1. 対応方法

2-1-1. 脆弱性対処済みASAソフトウェアのご提供について

弊社より購入いただいたCisco製品に関しては、脆弱性対処済みASAソフトウェアを無償でご提供いたします。購入頂いた販売会社または弊社担当営業にご依頼下さい。
なお、弊社による脆弱性の対処作業をご希望される場合は、有償にてご対応いたしますので弊社営業までお問い合わせください。

2-1-2. ActiveXコントロール (cscopf.ocx) の無効化 (レジストリの変更) について

上記アドバイザリURL内の「Workarounds」(英文)、または、「回避策」(和文)の情報を元に、ActiveXコントロールの無効化(レジストリの変更)をご検討ください。

2-2. 注意事項

2-2-1. 回避策の適用

回避策を講じられる場合、その設定作業などはお客様の作業になります。但し、お客様のご要望により弊社にて有償での作業を承ります。弊社による作業をご希望される場合は、弊社営業までお問い合わせください。

2-2-2. ソフトウェア選定

お客様のシステムに対応した脆弱性対処済ソフトウェアの選定、および、バージョンアップ時に必要なメモリ容量の調査については、お客様の作業になります。
但し、お客様のご要望により弊社にて有償での作業を承ります。弊社による作業をご希望される場合は、弊社営業までお問い合わせください。

2-2-3. ハードウェア要件

ソフトウェアを変更する前にハードウェア要件をよくご確認くださいますようお願いいたします。
ソフトウェアを変更された場合、フラッシュメモリ容量やメインメモリ容量などが不足する場合がございます。そのような場合には、必要となるハードウェアをお客様に追加購入していただく必要がございます。
各ソフトウェアのハードウェア要件に関しましては、シスコシステムズ社ウェブサイトのリリースノート等をご参照いただきますようお願いいたします。