Cisco IOS GREカプセル化解除の脆弱性

これは、2006年9月6日付けで公開されたPhenoelitのアドバイザリhttp://www.securityfocus.com/archive/1/445322/30/0/threadedに対するシスコの回答です。「Cisco Systems IOS GRE decapsulation fault」というタイトルです。

この問題は、次のCisco Bug IDで追跡されています。

• CSCuk27655(登録ユーザ専用):GRE: make implementation RFC 2784 and RFC 2890 compliant
• CSCea22552(登録ユーザ専用):GRE: implementation of Reserved0 field not RFC2784 compliant
• CSCei62762(登録ユーザ専用):GRE: IP GRE Tunnel with Routing Present Bit not dropped

この問題をシスコに報告していただいたPhenoelit社のFXに感謝いたします。Cisco では、研究者と協力してセキュリティ脆弱性に関する調査を進め、製品レポートで発表することを常に歓迎しています。

追加情報

総称ルーティングカプセル化(GRE)は、総称パケットカプセル化プロトコルです。GREは、RFC1701およびRFC2784で文書化されています。

脆弱性が存在する製品

• Cisco IOSソフトウェア12.0、12.1、および12.2ベースのトレイン
• 該当バージョンのCisco IOS^®ソフトウェアが稼働し、GRE IPまたはGRE IPマルチポイントトンネルが設定されているすべてのデバイス

この脆弱性に該当しない製品

• Cisco IOSソフトウェア12.3および12.4ベースのトレイン
• Cisco IOSソフトウェアリリース12.0(23)Sよりも後のリビジョンで、CEFがイネーブルになっているCisco IOSソフトウェア12.0Sリリーストレイン（デフォルトの動作）

RFC1701では、GREヘッダーフィールド（RFC2784でReserved0として記述）に、RFC2784で推奨されていない多数のフラグビットが含まれています。特に、ルーティング情報フィールドとともに存在するルーティングビットと厳密なソースルートビットは廃止されています。RFC2784をサポートするすべてのバージョンのCisco IOSソフトウェアは、ビット1 ～ 5がゼロ以外の値であるパケットはすべて廃棄されるため、この脆弱性の影響を受けません。

次の3つの修正のいずれかを含むCisco IOSソフトウェアリリースはRFC2784に準拠しており、この脆弱性の影響を受けません。

• CSCuk27655(登録ユーザ専用):GRE: make implementation RFC 2784 and RFC 2890 compliant
• CSCea22552(登録ユーザ専用):GRE: implementation of Reserved0 field not RFC2784 compliant
• CSCei62762(登録ユーザ専用：GRE: IP GRE Tunnel with routing Present Bit not dropped

脆弱性の影響の概要

特別に巧妙に細工されたGREパケットを受信すると、特定のパケットメモリロケーション内のデータに応じて、GREコードは参照先のメモリバッファの内容を使用してパケットをカプセル化解除します。

debug tunnelを有効にすると、次のような出力が生成されます。

GRE decapsulated IP 0.3.74.0->0.0.1.30 (len=65407, ttl=39
GRE decapsulated IP 176.94.8.0->0.0.0.0 (len=64904, ttl=0
GRE decapsulated IP 0.15.31.193->176.94.8.0 (len=64894, ttl=237
GRE decapsulated IP 128.42.131.220->128.0.3.74 (len=64884, ttl=128)

参照されたメモリバッファデータが有効なIPv4パケットにカプセル化解除される場合にのみ、このパケットが転送されます。無効なIPv4パケットはルータで廃棄される

これは、ルータのアクセスコントロールリスト(ACL)をバイパスするために使用される可能性があります。

回避策と緩和策

次の回避策は、Cisco IOSソフトウェア12.0Sベースのトレインにのみ適用されます。

• Cisco Express Forwarding（CEF）
  
  Cisco IOSソフトウェアリリース12.0(23)Sよりも後のリビジョンのCisco IOSソフトウェアリリース12.0SリリーストレインでCEFを有効にすると、この脆弱性を緩和できます。Cisco IOSソフトウェアバージョン12.0Sリリースでは、CEFはデフォルトで有効になっています。ルータ上のCEFのステータスをチェックするには、CLIコマンドsh ip cefまたはsh ip cef interfaceを発行します。CEFの詳細については、http://www.cisco.com/en/US/docs/ios/12_2/switch/configuration/guide/xcfcefc.htmlを参照してください。

脆弱性のあるCisco IOSソフトウェアリリースには、次の緩和策が適用される可能性があります。

• トンネルの送信元および宛先エンドポイントのアンチスプーフィングメカニズム：
  
  アンチスプーフィングメカニズムの導入の詳細については、http://www.cisco.com/en/US/tech/tk648/tk361/technologies_tech_note09186a0080120f48.shtml#sec_ipおよびhttp://www.ietf.org/rfc/rfc2827.txtを参照してください。
• IPSecを使用してGREトンネルを暗号化します。
  
  詳細については、http://www.cisco.com/en/US/docs/ios/12_3t/inter/command/reference/int_t1gt.html#wp1161892を参照してください。

シスコのセキュリティ手順

シスコ製品のセキュリティの脆弱性に関するレポート、セキュリティ障害に対する支援、およびシスコからのセキュリティ情報を受信するための登録に関するすべての情報は、シスコのワールドワイド ウェブサイト https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html から入手できます。この情報には、シスコのセキュリティ通知に関して、報道機関が問い合せる場合の説明も含まれています。すべての Cisco セキュリティ アドバイザリは、http://www.cisco.com/go/psirt から入手できます。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。