公開日：2011/06/08　最終更新日：2011/06/08

JVNVU#490097
Cisco AnyConnect に検証不備の問題

概要

Cisco AnyConnect には、アップデート時に検証不備の問題が存在します。

影響を受けるシステム

  • Windows 版 Cisco AnyConnect 2.3.185 より前のバージョン
  • Windows Mobile 版 Cisco AnyConnect における全てのバージョン
  • Linux, MacOS X 版 Cisco AnyConnect 2.5.3041 より前のバージョン (2.5 系)
  • Linux, MacOS X 版 Cisco AnyConnect 3.0.629 より前のバージョン (3.0 系)
  • Linux, MacOS X 版 Cisco AnyConnect 2.5 系、3.0 系以外の全てのバージョン

詳細情報

Cisco AnyConnect は、ウェブブラウザを使った SSL-VPN を提供する製品です。Cisco AnyConnect には、アップデート用ファイルの配布元を確認しない問題が存在します。本問題を使用することで、アップデートサイトになりすましたサイトより悪意のあるファイルをダウンロードさせることが可能です。

想定される影響

ユーザの権限で任意のコードが実行される可能性があります。

対策方法

アップデートする
Cisco が提供する情報をもとに、各バージョンに対応したアップデートを適用してください。

なお Cisco によると、Windows Mobile 版については修正版の公開予定はないとのことです。

ワークアラウンドを実施する
対策版を適用するまでの間、以下の回避策を適用することで本脆弱性の影響を軽減することが可能です。

  • Internet Explorer の Cisco AnyConnect VPN Client ActiveX コントロールを無効にする
  • Cisco AnyConnect VPN Java アプレットを削除する
  • 影響を受けるバージョンの Cisco AnyConnect VPN Java アプレットを無効にする
  • 信頼された証明書のリストから Cisco Systems, Inc. を削除する
  • Cisco AnyConnect VPN Client をスタンドアロンモードで使用する
詳しくは Cisco が提供する情報をご確認ください。

ベンダ情報

ベンダ リンク
Cisco Cisco Security Advisory: Multiple Vulnerabilities in Cisco AnyConnect Secure Mobility Client

参考情報

  1. US-CERT Vulnerability Note VU#490097
    Cisco AnyConnect SSL VPN arbitrary code execution
  2. CERT/CC Blog
    Signed Java Applet Security: Worse than ActiveX?

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2011.06.08における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
  • 高
認証レベル 匿名もしくは認証なしで攻撃が可能
  • 高
攻撃成立に必要なユーザーの関与 リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される
  • 中
攻撃の難易度 かなり高度な専門知識や運 (条件が揃う確率は低い) が必要
  • 低

各項目の詳しい説明

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2011-2039
CVE-2011-2040
JVN iPedia