はじめに
TACへのサービスリクエストの中で多いお問い合わせの一つとして、製品が使用しているオープンソースソフトウェアの脆弱性に対する影響に関してのお問い合わせがあります。
各製品で使用しているオープンソースソフトウェアは多くがcisco.com上に公開されているため、脆弱性の影響度合いをある程度推察することが可能です。
本記事では、主なセキュリティ製品が使用しているオープンソースソフトウェアのリストを一部抜粋して紹介させていただきます。
そのリストを用いて以下のような確認が可能ですので、サービスリクエストをオープンする前に一度ご確認をいただけたらと思います。
対応例
Q. PHP5の脆弱性が発見されたが、ASA 9.1に対する影響はあるか
A. ASAのOpen Source Software usedのリストにはPHPはなく、使用していないため影響はない。
Q. Linux Kernel 2.6の脆弱性が発見されたが、ASA9.1に対する影響はあるか
A. ASA9.1はlinux kernel 2.6.29.6を使用しているため、影響を受ける可能性がある。不具合IDやSecurity Advisoryがあるかを確認し必要に応じてTACへサービスリクエストをオープンする。
Q. Linux Kernel 2.4の脆弱性が発見されたが、ASA9.1に対する影響はあるか
A. ASA9.1はlinux kernel 2.6.29.6を使用しているため、Linux Kernel 2.4限定の脆弱性であれば、影響を受けない。
Q. Linux Kernel 2.4の脆弱性が発見されたが、End of Maintenance を迎えているACS5.2に対する影響はあるか
A. TACによる新規不具合の調査は不可能だが、リストからACS5.2はLinux Kernel 2.6.9を使用しているため、影響は受けないと考えられる。
製品別使用しているオープンソースソフトウェア一覧
以下が主なセキュリティ製品が使用しているオープンソースソフトウェアのリストになります。一部抜粋したものであり、その他のソフトウェア、バージョンについても多くが公開されておりますので各製品ドキュメントをご確認いただけたらと思います。
-----------------------------------------------------------------------------------
ASA
Navigating the Cisco ASA Series Documentation
内の
ASA Open Source License — Open Source Used In Cisco ASA Series 9.4
等、各バージョン毎に記載
-----------------------------------------------------------------------------------
IPS
Release Notes
内のOpen Source Used in Cisco IPS 7.3(3)
等、各バージョン毎に記載
-----------------------------------------------------------------------------------
FireSIGHT/FirePOWER
5.4はThird-Party Products
に記載
-----------------------------------------------------------------------------------
ESA
Release Notes
内のOpen Source Used In AsyncOS 9.5 for Email 等バージョン毎に記載
-----------------------------------------------------------------------------------
WSA
Release Notes
内のOpen Source Used in AsyncOS 8.8 for Cisco Web Security Appliances
等バージョン毎に記載
-----------------------------------------------------------------------------------
AnyConnect
Open Source Used In Cisco AnyConnect Secure Mobility Client Release 4.1
等バージョン毎に記載
-----------------------------------------------------------------------------------
ISE
Cisco Identity Services Engine Software
のDocumentation->License Information配下の
Open Source Used in Identity Services Engine, Release 1.3
等、バージョン毎に記載
-----------------------------------------------------------------------------------
ACS
Cisco Secure Access Control System Licensing Information
配下のOpen Source and Third Party Licenses used in Cisco Secure Access Control System, 5.7
等、バージョン毎に記載
