High
High
アドバイザリーID : cisco-sa-20150415-iosxr
初公開日 : 2015-04-15 16:00
最終更新日 : 2015-04-17 13:44
バージョン 1.1 : Final
CVSSスコア :
7.1
回避策 :
No Workarounds available
Cisco バグ ID : CSCur62957
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco ASR 9000シリーズアグリゲーションサービスルータ(ASR)用Cisco IOS XRソフトウェアのパケット処理コードにおける脆弱性により、認証されていないリモートの攻撃者が、ネットワークプロセッサチップおよびトラフィックを処理しているラインカードのロックアップとリロードを引き起こす可能性があります。この脆弱性の影響を受けるのは、Cisco ASR 9000シリーズアグリゲーションサービスルータのTyphoonベースのラインカードのみです。
この脆弱性は、Unicast Reverse Path Forwarding(uRPF)、ポリシーベースルーティング(PBR)、Quality of Service(QoS)、またはアクセスコントロールリスト(ACL)のいずれかの機能が設定されている場合に、ブリッジグループ仮想インターフェイス(BVI)経由でルーティングされるパケットの処理が不適切であることに起因します。攻撃者は、BVIインターフェイスを介してIPv4パケットをルーティングするように設定された該当デバイスを介してIPv4パケットを送信することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者はネットワークプロセッサチップとトラフィックを処理しているラインカードのロックアップと最終的なリロードを引き起こし、サービス妨害(DoS)状態を引き起こす可能性があります。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性の回避策はありません。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150415-iosxr
この脆弱性は、Unicast Reverse Path Forwarding(uRPF)、ポリシーベースルーティング(PBR)、Quality of Service(QoS)、またはアクセスコントロールリスト(ACL)のいずれかの機能が設定されている場合に、ブリッジグループ仮想インターフェイス(BVI)経由でルーティングされるパケットの処理が不適切であることに起因します。攻撃者は、BVIインターフェイスを介してIPv4パケットをルーティングするように設定された該当デバイスを介してIPv4パケットを送信することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者はネットワークプロセッサチップとトラフィックを処理しているラインカードのロックアップと最終的なリロードを引き起こし、サービス妨害(DoS)状態を引き起こす可能性があります。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性の回避策はありません。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150415-iosxr
該当製品
脆弱性のある製品
Typhoonベースのラインカードを搭載したCisco ASR 9000シリーズルータは、この脆弱性の影響を受けます。この脆弱性の影響を受けるには、デバイスがBVIを介してトラフィックをルーティングするように設定され、uRPF、PBR、QoS、またはACLのいずれかの機能が設定されている必要があります。
この脆弱性の不正利用が可能なのは、さらにBVI経由でルーティングされるIPv4パケットのみです。IPv6パケットまたは該当デバイス宛てのIPv4パケットを使用してこの脆弱性をトリガーすることはできません。
Cisco IOS XRソフトウェアでは、デフォルトでBVI、uRPF、PBR、QoS、およびACLは有効になっていません。
デバイスでBVIが設定されているかどうかを確認するには、show running-config | include bvi特権EXECコマンドを使用します。interface bviがshow running-config | include bviコマンドの実行結果に出力される場合は、BVIが設定されていることを意味します。
以下に、show running-config | include bviコマンドを、BVIが設定されたCisco IOS XRソフトウェアを実行しているデバイスで実行した場合の出力例を示します。
以下に、show running-config | include "verify source"コマンドを、uRPF機能が有効になっているCisco IOS XRソフトウェアを実行しているデバイスで実行した場合の出力例を示します。
デバイスでPBRが設定されているかどうかを確認するには、show running-config policy-map | include pbr特権EXECコマンドを使用します。policy-map type pbrがshow running-config policy-map | include pbrコマンドの実行結果に出力される場合は、PBRが設定されていることを意味します。
次に、show running-config policy-map | include pbrコマンドを、PBR機能が有効なCisco IOS XRソフトウェアを実行しているデバイスで実行した場合の出力例を示します。
以下に、show running-config | include access-groupコマンドを、ACL機能が有効になっているCisco IOS XRソフトウェアを実行しているデバイスで実行した場合の出力例を示します。
インターフェイスでQoSが有効になっているかどうかを確認するには、show running-config | include service-policy特権EXECコマンドを使用します。service-policy inputまたはservice-policy outputがshow running-config | include service-policyの実行結果に出力される場合は、QoSが設定されていることを意味します。
以下に、show running-config | include service-policyコマンドを、QoS機能が設定されたCisco IOS XRソフトウェアを実行しているデバイスで実行した場合の出力例を示します。
Cisco ASR 9000シリーズイーサネットラインカードの第2世代は、Typhoonベースのラインカードと呼ばれます。この用語は、これらのラインカードで使用されるネットワーク プロセッサ（NP）に由来します。
次のラインカードは Typhoon ベースです。
ASR 9000シリーズルータのラインカードがTyphoonベースのものかどうかを確認するには、show diagコマンドを使用します。該当するデバイスには、少なくとも1枚のTyphoonベースのカードの製品ID(PID)が含まれます。次の例は、A9K-24X10GE-SEカードがアクティブになっているデバイスを示しています。
注：4.3.1より前のCisco IOS XRソフトウェアリリースは、この脆弱性の影響を受けません。
この脆弱性の不正利用が可能なのは、さらにBVI経由でルーティングされるIPv4パケットのみです。IPv6パケットまたは該当デバイス宛てのIPv4パケットを使用してこの脆弱性をトリガーすることはできません。
Cisco IOS XRソフトウェアでは、デフォルトでBVI、uRPF、PBR、QoS、およびACLは有効になっていません。
デバイスでBVIが設定されているかどうかを確認するには、show running-config | include bvi特権EXECコマンドを使用します。interface bviがshow running-config | include bviコマンドの実行結果に出力される場合は、BVIが設定されていることを意味します。
以下に、show running-config | include bviコマンドを、BVIが設定されたCisco IOS XRソフトウェアを実行しているデバイスで実行した場合の出力例を示します。
インターフェイスでuRPFが有効になっているかどうかを確認するには、show running-config | include verify特権EXECコマンドを使用します。ipv4 verify unicast source reachable-via rxがshow running-config | include verifyコマンドの実行結果に出力される場合は、uRPFが有効になっています。RP/0/RSP0/CPU0:router(admin)# show running-config | include bvi
interface bvi 50
以下に、show running-config | include "verify source"コマンドを、uRPF機能が有効になっているCisco IOS XRソフトウェアを実行しているデバイスで実行した場合の出力例を示します。
RP/0/RSP0/CPU0:router(admin)# show running-config | include "verify source"
ipv4 verify unicast source reachable-via rx
デバイスでPBRが設定されているかどうかを確認するには、show running-config policy-map | include pbr特権EXECコマンドを使用します。policy-map type pbrがshow running-config policy-map | include pbrコマンドの実行結果に出力される場合は、PBRが設定されていることを意味します。
次に、show running-config policy-map | include pbrコマンドを、PBR機能が有効なCisco IOS XRソフトウェアを実行しているデバイスで実行した場合の出力例を示します。
インターフェイスでACLが有効になっているかどうかを確認するには、show running-config | include access-group特権EXECコマンドを使用します。ipv4 access-groupがshow running-config | include access-groupコマンドの実行結果に出力される場合は、ACLが設定されていることを意味します。RP/0/RSP0/CPU0:router(admin)# show running-config policy-map | include pbr
policy-map type pbr TEST_PBR
以下に、show running-config | include access-groupコマンドを、ACL機能が有効になっているCisco IOS XRソフトウェアを実行しているデバイスで実行した場合の出力例を示します。
RP/0/RSP0/CPU0:router(admin)# show running-config | include access-group
ipv4 access-group TEST_IN ingress
インターフェイスでQoSが有効になっているかどうかを確認するには、show running-config | include service-policy特権EXECコマンドを使用します。service-policy inputまたはservice-policy outputがshow running-config | include service-policyの実行結果に出力される場合は、QoSが設定されていることを意味します。
以下に、show running-config | include service-policyコマンドを、QoS機能が設定されたCisco IOS XRソフトウェアを実行しているデバイスで実行した場合の出力例を示します。
RP/0/RSP0/CPU0:router(admin)# show running-config | include service-policy
service-policy input test_in
service-policy output test_out
Cisco ASR 9000シリーズイーサネットラインカードの第2世代は、Typhoonベースのラインカードと呼ばれます。この用語は、これらのラインカードで使用されるネットワーク プロセッサ（NP）に由来します。
次のラインカードは Typhoon ベースです。
- A9K-MOD80-SE
- A9K-MOD80-TR
- A9K-MOD160-SE
- A9K-MOD160-TR
- A9K-24X10GE-SE
- A9K-24X10GE-TR
- A9K-36X10GE-SE
- A9K-36X10GE-TR
- A9K-2X100GE-SE
- A9K-2X100GE-TR
- A9K-1X100GE-SE
- A9K-1X100GE-TR
ASR 9000シリーズルータのラインカードがTyphoonベースのものかどうかを確認するには、show diagコマンドを使用します。該当するデバイスには、少なくとも1枚のTyphoonベースのカードの製品ID(PID)が含まれます。次の例は、A9K-24X10GE-SEカードがアクティブになっているデバイスを示しています。
RP/0/RSP0/CPU0:router(admin)# show diag
Mon Jun 22 12:55:10.554 PST
NODE module 0/RSP0/CPU0 :
MAIN: board type 0x100302
!--- output truncated
NODE module 0/1/CPU0 :
MAIN: board type 0x20207
S/N: FOC123081J6
Top Assy. Number: 68-3182-03
PID: A9K-24X10GE-SE
UDI_VID: V1D
HwRev: V0.0
New Deviation Number: 0
CLEI:
Board State : IOS XR RUN
PLD: Motherboard: N/A, Processor: 0x8004 (rev: 2.2), Power: N/A
ROMMON: Version 1.0(20081208:174521) [ASR9K ROMMON]
!--- output truncated
注：4.3.1より前のCisco IOS XRソフトウェアリリースは、この脆弱性の影響を受けません。
脆弱性を含んでいないことが確認された製品
この脆弱性の影響を受けるのは、Typhoonベースのラインカードを搭載したCisco ASR 9000シリーズルータのみです。
Cisco ASR 9001およびCisco ASR 9001-Sルータは、この脆弱性の影響を受けます。
注：4.3.1より前のCisco IOS XRソフトウェアリリースは、この脆弱性の影響を受けません。
Tridentベースのラインカードを搭載したCisco ASR 9000シリーズルータは、この脆弱性の影響を受けません。ASR 9000シリーズイーサネットラインカードの第1世代は、Tridentベースのラインカードと呼ばれることがよくあります。
次のラインカードはTridentベースです。
他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。
Cisco ASR 9001およびCisco ASR 9001-Sルータは、この脆弱性の影響を受けます。
注：4.3.1より前のCisco IOS XRソフトウェアリリースは、この脆弱性の影響を受けません。
Tridentベースのラインカードを搭載したCisco ASR 9000シリーズルータは、この脆弱性の影響を受けません。ASR 9000シリーズイーサネットラインカードの第1世代は、Tridentベースのラインカードと呼ばれることがよくあります。
次のラインカードはTridentベースです。
- A9K-40GE-L
- A9K-40GE-B
- A9K-40GE-E
- A9K-4T-L
- A9K-4T-B
- A9K-4T-E
- A9K-8T/4-L
- A9K-8T/4-B
- A9K-8T/4-E
- A9K-2T20GE-L
- A9K-2T20GE-B
- A9K-2T20GE-E
- A9K-8T-L
- A9K-8T-B
- A9K-8T-E
- A9K-16T/8-B
他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。
詳細
Cisco ASR 9000シリーズアグリゲーションサービスルータ(ASR)用Cisco IOS XRソフトウェアのパケット処理コードにおける脆弱性により、認証されていないリモートの攻撃者が、ネットワークプロセッサチップおよびトラフィックを処理しているラインカードのロックアップとリロードを引き起こす可能性があります。この脆弱性の影響を受けるのは、Cisco ASR 9000シリーズアグリゲーションサービスルータのTyphoonベースのラインカードのみです。
この脆弱性は、Unicast Reverse Path Forwarding(uRPF)、ポリシーベースルーティング(PBR)、Quality of Service(QoS)、またはアクセスコントロールリスト(ACL)のいずれかの機能が設定されている場合に、ブリッジグループ仮想インターフェイス(BVI)経由でルーティングされるパケットの処理が不適切であることに起因します。攻撃者は、BVIインターフェイスを介してIPv4パケットをルーティングするように設定された該当デバイスを介してIPv4パケットを送信することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者はネットワークプロセッサチップとトラフィックを処理しているラインカードのロックアップと最終的なリロードを引き起こし、サービス妨害(DoS)状態を引き起こす可能性があります。
この脆弱性の影響を受けるには、デバイスがBVIを介してトラフィックをルーティングするように設定され、uRPF、PBR、QoS、またはACLのいずれかの機能が設定されている必要があります。
この脆弱性が繰り返し悪用されると、長時間にわたってDoS状態が発生する可能性があります。
この脆弱性は、Cisco Bug ID CSCur62957(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2015-0695が割り当てられています。
この脆弱性は、Unicast Reverse Path Forwarding(uRPF)、ポリシーベースルーティング(PBR)、Quality of Service(QoS)、またはアクセスコントロールリスト(ACL)のいずれかの機能が設定されている場合に、ブリッジグループ仮想インターフェイス(BVI)経由でルーティングされるパケットの処理が不適切であることに起因します。攻撃者は、BVIインターフェイスを介してIPv4パケットをルーティングするように設定された該当デバイスを介してIPv4パケットを送信することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者はネットワークプロセッサチップとトラフィックを処理しているラインカードのロックアップと最終的なリロードを引き起こし、サービス妨害(DoS)状態を引き起こす可能性があります。
この脆弱性の影響を受けるには、デバイスがBVIを介してトラフィックをルーティングするように設定され、uRPF、PBR、QoS、またはACLのいずれかの機能が設定されている必要があります。
この脆弱性が繰り返し悪用されると、長時間にわたってDoS状態が発生する可能性があります。
この脆弱性は、Cisco Bug ID CSCur62957(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2015-0695が割り当てられています。
回避策
この脆弱性に対する回避策はありません。
修正済みソフトウェア
ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories, Responses, and Alerts アーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。この脆弱性は、次のCisco IOS XRソフトウェアメンテナンスアップデート(SMU)で修正されています。
- asr9k-px-4.3.4.CSCur62957.pie（バージョン4.3.4用）
- asr9k-px-5.1.2.CSCur62957.pie（バージョン5.1.2用）
- asr9k-px-5.1.3.CSCur62957.pie（バージョン5.1.3用）
- asr9k-px-5.2.2.CSCur62957.pie（バージョン5.2.2用）
- asr9k-px-5.3.0.CSCur62957.pie（バージョン5.3.0用）
注： Cisco IOS XRソフトウェアの4.3.1より前のリリースは、この脆弱性の影響を受けません。
注：追加バージョンのCisco IOS XRソフトウェアSMUは、利用可能になった時点で公開されます。
推奨事項
$propertyAndFields.get("recommendations")
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。
この脆弱性は、お客様のケースの調査中にCisco TACによって発見されました。
URL
改訂履歴
| リビジョン 1.1 | 2015 年 4 月 17 日 | 影響を受けるリリースの修正 |
| リビジョン 1.0 | 2015年4月15日 | 初版リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。