Interstage Security Directorアップデート情報

1.1 ファイアウォール機能

本ソフトウェアは、以下の製品のバージョン・レベルで発生した障害が修正されております。

今回のバージョン・レベルで吸収された修正内容、および修正番号については以下を参照してください。

項番	バージョン・レベル	P番号	現象
1	3.0	PE15668	自動鍵交換中に証明書不当エラーが発生し、IPセキュリティ通信ができない場合がある。
2		PE15682	自動鍵交換によるIPセキュリティ通信ができなくなる場合がある。
3		PF50315	送信元アラートが発生した時に、アラート発生時コマンドに渡されるパラメタ(送信元アラートメッセージ)の形式が正しくない。
4		PF50381	IPパケットログレコードが記録されない場合がある。
5		PF50391	「アラート設定」の「パケット監視単位時間」で指定した時間を超えてブロックパケットをカウントし、アラートを検出してしまう場合がある。
6		PF50416	透過モジュール(trpadcvd)を移動し、透過GWの停止を実施すると、起動中の全てのプロセスを停止させてしまう場合がある。
7		PF50509	クラスタ待機系で起動時、Safegateのセキュリティ機能が活性化されていない。
8		PG04727	認証後の通信種別を非暗号通信(GWアドレス)として認証通信を行なうと、ログビューアの送信元IPアドレスが仮想アドレスで表示される。また、認証切断要求が実アドレスで表示される。
9		PG04747	Safegate起動時又は暗号GWより透過GWを先に起動しその後，暗号GWを起動すると、暗号GWが起動されず、エラーになる。
10		PG04748	ログビューアで1.5GBのログ情報を表示するとログビューアが終了する。
11		PG04750	アラート通知形式のマニュアル記述に誤りがある。
12		PG04821	透過接続が正常に動作しなくなる場合がある。
13		PG04895	透過FTP接続を実施している場合、エラーメッセージが出力される場合がある。
14		PG04912	同一送信元アラートおよび同一送信先アラートが通知されない場合がある。
15		PG04914	透過FTP中継処理のファイル受信操作に失敗する場合がある。
16		PG05028	Solaris 8 オペレーティングシステムにインストールしリブートすると、コンソールにエラーメッセージが表示される場合がある。
17		P802929	Safegateセットアップ画面の起動／終了メニューで、各サービスを連続して起動／終了を繰り返すと、環境設定ファイルの読込みエラ−が表示され、サービス起動に失敗する場合がある。
18	3.1	P803135	prtipseclogコマンドでIPアドレスを指定するとエラーになる。
19		PG05397	Actipfilコマンドが異常終了する場合がある。
20		PG06325	SS4.1にて脆弱性が検出される(FSUNfwecgw)。
21		PG06321	SS4.1にて脆弱性が検出される(FSUNfwip)。
22		PG06322	SS4.1にて脆弱性が検出される(FSUNfwauth)。
23		P803430	自動鍵交換によるIPセキュリティ通信ができなくなる場合がある。
24	4.0	P803685	以下の条件の場合、透過中継処理でTCPチェックサム値を不当な値に更新し、再送タイムアウトが発生する場合がある。 1)透過接続/認証(GWアドレス、実アドレスモード)/InterScan連携の通信である。かつ、 2)アドレス変換前のTCPチェックサム値からアドレス変換前のIPアドレスおよびポート番号および変換後のIPアドレスおよびポートを加算した結果が0となる場合。
25		P803647	以下の条件の場合、IPセキュリティ通信ができない場合がある。 1)FSUNipsec2.1、FSUNipsec2.2、FSUNipsec2.2.1、FSUNipsec2.2.3、FSUNipsec2.2.4のいづれかのパッケージをインストールし、かつ、 2)IKEゲートウェイを定義し、かつ、 3)SP(Security Policy)に対応するSA(Security Association)が出来ていない場合。
26		PG09784	以下の条件において、システムがパニックする場合がある。 1)INTERSTAGE Traffic Directorにおいて負荷分散オプションを使用し、かつ、 2)負荷分散機能を使用中に、システムをシャットダウンした場合。
27		P803967	認証ログイン後に、本製品のインタフェースアドレス宛に接続できなくなる場合がある。
28		PG11094	透過接続ログ（統計情報）および透過モニタの中継情報で送受信データサイズが実際の転送サイズより大きな値となる場合がある。
29		PG11178	同一送信元アラート、同一送信先アラートが、SNMPマネージャ、又はSafegate集中管理に通知されない場合がある。
30		PG11126	認証ログに、通信切断ログが正しく採取されない場合がある。
31	4.1	PG11756	IPフラグメントパケットを受信すると、メモリ開放漏れが発生する場合がある。
32		PG11757	システム再起動時、Traffic Directorからエラーメッセージが表示される場合がある。
33		PG11760	SafeLINK(ネット二重化)でactipfil時エラーが発生する場合がある。
34		PG12137	2次接続を行うサービス通信中の状態でIPフィルタの再活性化を行った場合、その通信の終了時にシステムがパニックする場合がある。
35		PG12340	システムシャットダウン時にパニックする可能性がある。
36		PG12399	FTPのアドレス変換通信で、複数ファイルを行うと通信できなくなる場合がある。
37		PG13150	自動鍵交換(IKE)で種別にAH+ESPを設定した場合、通信ができなくなる場合がある。
38		PG13850 PG13851 PG13852 PG13853	パッケージのインストール時にCOPYRIGHT表示されない。
39	5.0	PG14964	以下の条件の場合にパケットログファイルが0バイトのファイルとなる場合がある。 1)ログ番号が99999997まで出力された場合。
40		P804797	以下の条件の場合、システムダウンする場合がある。 1)vdolive/cuseemeのサービスの通過が許可されている。かつ、 2)vdolive/cuseemeのプロトコル形式と異なる。
41		P805102	以下の条件の場合、フィルタリング条件を設定する方法がマニュアルに明確に記載されていないため、設定できない場合がある。 1)SafeLINK高速切替方式により、伝送路の二重化構成をとっている。かつ、 2)Safegate自身へのフィルタリング条件を設定する。かつ、 3)2)のアドレスがSafeLINK高速切替方式の仮想インタフェースのアドレスである場合。
42		P805149	ファイアウォール独自設定（sgsetup）で各機能の起動・終了を繰り返すと、認証処理が行えなくなる場合がある。
		PG14129	ノードの構成変更後リブートすると、モニタとの接続において「指定されたアカウントまたはパスワード不正」となり接続できなくなる。
43		PG19154	管理コンソールでイベント保存の処理が完了しないことがある。
44	5.1	PG20158	以下の条件の場合、IKE条件の読込みに失敗する。 1)IKE暗号条件を1000個設定した場合。
45		PG20905	以下の条件の場合、IPsecのVPN通信を使用したTCP接続が通信中に切断される場合がある。 1)TCP接続を行う。かつ、 2)1)の後、データ送受信を行わないで30秒経過した場合。
46		PG20906	以下の条件の場合、IPsecのVPN 通信中に、0バイトデータの非暗号パケットが送出される場合がある。 1)Keep-aliveオプションが有効となっている場合。かつ、 2)TCP接続の無通信監視タイマが経過し、Keep-aliveパケットを送出した場合。
47		PG20907	以下の条件の場合、tracerouteコマンドに対して本製品からの応答パケットが通知されない。 1)IPマスカレード条件（送信元NAPT）を設定する。かつ、 2)内部ホストからtracerouteコマンドを実行した場合。
48		P805732	以下の条件の場合、ファイアウォール独自環境設定コマンド（sgsetup）がcoreダンプする場合がある。 1)ホストアイコンと関連付けられていないホストをホストグループに設定する。かつ、 2)1)のホストグループに対するフィルタリング条件を設定する。かつ、 3)sgsetupを終了した場合。
49		PG24647	以下の条件の場合、SDFW暗号処理でパケットロストが発生し、結果、SDFW暗号通信性能の劣化または、暗号通信できなくなる場合がある。 1)暗号処理を行うファイアウォールシステムが低スペックマシンの場合
50		PG24674	以下の条件の場合、システムダウンが発生する場合がある。 1)MPシステムである。かつ、 2)送信元不正アクセスを検出し、該当送信元を動的なブラックリストに登録中である。かつ、 3)再度、当該送信元の不正アクセスを検出した場合。
51		PG24754	以下の条件の場合、システムハングが発生する場合がある。 1)MPシステムである。かつ、 2)ポリシー配信を実施し、IPパケットフィルタリング機能の再活性化を行った場合。
52		PB25910	以下の条件の場合、IPsec、IKE、独自暗号通信が行えない。 1)システムのMTU 長が512バイトの場合
53		PG25911	以下の条件の場合、TCP 通信ができなくなる場合がある。 1)通過動作のコネクションを確立している場合。かつ、 2)IPパケットフィルタ機能の活性化を行う。かつ、 3)フィルタ条件で設定している方向とは逆方向からのTCP パケットを最初に検出した場合
54		PG25912	以下の条件の場合、アラートに通知されるクライアントのインタフェース情報が異常となる。 1)IPsec、IKE、またはSDFW独自暗号いずれかの動作を行なっている場合。かつ、 2)相手暗号ゲートウェイからのパケットの復号処理で不正パケットとして判断した場合。
55		PG25913	FWモニタコンソールの格納ディレクトリ名が複数行で表示される場合がある。
56	6.0	PG45162	ユーザ認証を繰り返すと認証プロセスがcoreダンプする場合がある。
57		PG44971	以下の条件の場合、仮想アドレス広報機能が不正なRIP情報を送信する場合がある。 1)NIC切替環境である。かつ、 2)NIC切替インタフェース側にSafegate clientの設定を実施した場合。 および 1)NIC切替環境である。かつ、 2)仮想アドレス広報インタフェース名に待機NICのインタフェース名を指定した場合。 かつ、 3)広報するアドレスがNIC切替インタフェース側のサブネットまたはネットワークに属さないアドレスの場合。
58		PG44721	管理コンソールの設定でポリシー配信を行うと、「Invalid PIB record.」のメッセージが表示され、ポリシー配信に失敗する場合がある。
59		PG44434	フラグメントパケットがSDを通過できなくなる。
60		PG44176	集中管理からのログの収集をサポートしていないのに、ログ収集を実施すると正常終了したように見えてしまう。
61		PG43924	認証を実施すると、認証機能のauthpプロセスがコアダンプする。
62		PG42994	以下の条件において、SDドライバにてCPUを多量に消費してしまう。 1)SDFW暗号/IKE暗号の両方に対し、認証ユーザ定義が大量にある。かつ、 2)sgsetupで、認証ユーザの暗号種別を変更する。かつ 3)フィルタに反映せずに、sgsetupを終了する。かつ 4)変更したユーザで認証して暗号通信を行おうとする。 または以下の条件でも同様の現象が発生する。 1)SDFW暗号/IKE暗号の両方に対し、認証ユーザ定義が大量にある。かつ、 2)同一マスカレード装置から、SDFW暗号/IKE暗号の両方で認証して暗号通信を行おうとする。
63		PG41999	以下の条件において、ポリシーの配信を行ったタイミングで、ブラックリスト対象外に設定したはずの端末がブラックリストに登録される。 1)TCPパケットシーケンス異常（UNFAIR）のコネクションが多数残留している状態である（少なくとも10以上）。かつ、 2)この状態で、ポリシーの配信を行った場合。
64		PG40408	以下の条件の場合、メモリ解放漏れが発生し、システムのメモリ資源を圧迫する恐れがある。 1)リモート認証機能を使用している場合。
65		PG39582	Safeate clientからの認証が同時に終了した場合、一方の認証情報が削除されず、該当ユーザからの認証接続ができなく場合がある。
66		PG39580	Safegate clientとの証明書認証処理において、Safegate clientからの証明書を正しく受信できない場合、認証デーモン（authdaemon）はcoreダンプしてしまう場合がある。
67		PG37685	以下の条件の場合、誤ってSynRecvアラートが検出される場合がある。 1)マルチプロセッサシステムである場合。かつ、 2)同一サーバ／同一サービスに対するTCP 接続／切断を繰り返した場合。
68		PG37684	Path MTU機能を無効化できるよう対応する。
69		PG36133	以下の条件の場合、Safegate clientによるVPN 通信ができない。 1)IPマスカレード環境配下の端末から、Safegate clientを使用している場合。かつ、 2)IPマスカレード環境配下の別端末から、同時にSafegate clientを起動した場合。
70		PG34766	以下の条件の場合、IPフィルタの活性化に時間を要する場合がある。 1)ユーザ認証条件が多数定義されている場合。かつ、 2)1ユーザあたりの認証条件数が多数定義されている場合。
71		PG33764	以下の条件の場合、本製品の運用ができない。 1)Solaris 8、Solaris 9、またはSolaris 10を使用している場合。かつ、 2)非クローンデバイス（bge等）を使用している場合。
72		PG32432	以下の条件の場合、システムダウンまたはハングする場合がある。 1)マルチプロセッサシステムである場合。かつ、 2)大量のポートスキャンアラートが継続して検出される場合
73		PG31229	以下の条件の場合、通信不可となる場合がある。 1)マルチプロセッサシステムである場合。かつ、 2)あるフィルタ条件に該当する複数の通信が同時に開始された場合。かつ、 3)2)のタイミングで、内部的に該当フィルタのタイマ監視が開始された場合。
74		PG31228	以下の条件の場合、ICMPエラーのパケットが適切にアドレス変換されない場合がある。 1)アドレス変換中に途中ルータからICMPエラーが通知された場合
75		PG31226	以下の条件の場合、正常なTCP通信が継続できなくなる場合がある。 1)不正なTCP のRST 攻撃を受信した場合
76		PG30162	以下の条件の場合、システムダウンまたはハングする場合がある。 1)マルチプロセッサシステムである場合。かつ、 2)不正アクセスを検出した場合
77		PG29076	以下の条件の場合、システムダウンまたはハングする場合がある。 1)マルチプロセッサシステムである場合。かつ、 2)大量のポートスキャンアラートを検出した場合
78		PG28889	以下の条件の場合、Systemwalker Resource Coordinator 11.0（ネットワークリソースマネージャ）のSTREAM構築に失敗する。 1)本製品とSystemwalker Resource Coordinator 11.0（ネットワークリソースマネージャ）が同居した場合
79		PG28390	以下の条件の場合、Fragment Attackが検出される場合がある。 1)IPヘッダのフラグ領域に0x8000が設定されたパケットを受信した場合
80		PG28152	以下の条件の場合、ユーザ認証条件がIPフィルタに正しく設定されない場合がある。 1)ファイアウォール独自環境設定を使用している場合。かつ、 2)Safegate clientの定義数がIKEゲートウェアイの定義数より多い状態である場合。かつ、 3)送信元または送信先にSafegate clientを指定したユーザ条件が設定されている場合
81		PG36033	Solaris版Interstage Security Director ファイアウォール機能において、暗号プロセッサを使用した場合、ハングアップする場合がある。
82		PG36224	Solaris版Interstage Security Director ファイアウォール機能において、IKE暗号通信機能を使用した場合、コアダンプする場合がある。
83		PG44339	ポリシー配信のパスワードの変更を行うchgcopskeyコマンドの実行完了に時間を要する場合がある。