Cisco NX-OS ソフトウェア 802.1X の Extensible Authentication Protocol over LAN におけるサービス妨害に関する脆弱性

この脆弱性は、Cisco NX-OS ソフトウェアの脆弱性のあるリリースを実行しており、802.1X 機能が有効になっている次のシスコ製品に影響を与えます。

• Nexus 1000V Switch for VMware vSphere
• Nexus 2000 シリーズ ファブリック エクステンダ
• Nexus 3000 シリーズ スイッチ¹
• Nexus 3500 プラットフォーム スイッチ¹
• Nexus 5500 プラットフォーム スイッチ
• Nexus 5600 プラットフォーム スイッチ
• Nexus 6000 シリーズ スイッチ
• Nexus 7000 シリーズ スイッチ
• Nexus 7700 シリーズ スイッチ
• Nexus 9000 シリーズ ファブリック スイッチ（アプリケーション セントリック インフラストラクチャ（ACI）モード）
• スタンドアロン NX-OS モードの Nexus 9000 シリーズ スイッチ¹

脆弱性が存在する Cisco NX-OS ソフトウェア リリースについては、このアドバイザリの「修正済みソフトウェア」の項を参照してください。

802.1X の設定の確認

この脆弱性は、802.1X 機能が設定された NX-OS デバイスにのみ影響を与えます。インターフェイスで 802.1X が有効になっていないかサポートされていない場合、Cisco NX-OS デバイスは、すべての EAPOL フレームをドロップします。

NX-OS の CLI から show dot1x interface Ethernet slot / port コマンドを使用することにより、インターフェイスで Nexus デバイスに 802.1X が設定されているかどうかを確認できます。コマンドの出力が返された場合は、インターフェイスで 802.1X が設定されています。

nxos-switch# showdot1x interface Ethernet1/2
Dot1x Info for Ethernet1/2
-----------------------------------
PAE = AUTHENTICATOR
PortControl = FORCE_AUTH
HostMode = SINGLE HOST
ReAuthentication = Disabled
QuietPeriod = 60
ServerTimeout = 30
SuppTimeout = 30
ReAuthPeriod = 3600 (Locally configured)
ReAuthMax = 2
MaxReq = 2
TxPeriod = 30
RateLimitPeriod = 0
InactivityPeriod = 0
Mac-Auth-Bypass = Disabled

詳細については、『Cisco NX-OS セキュリティ設定ガイド』の「802.1X の設定」の章を参照してください。

Cisco NX-OS ソフトウェアリリースの判別

管理者は、デバイスの CLI で show version コマンドを使用することによって、デバイスで実行されている Cisco NX-OS ソフトウェアのリリースをチェックできます。デバイスが Cisco NX-OS ソフトウェア リリース 7.0(3)I5(1) を実行している場合、コマンドの出力例は次のようになります。

nxos-switch# show version
Cisco Nexus Operating System (NX-OS) Software
TAC support: http://www.cisco.com/tac
Copyright (C) 2002-2016, Cisco and/or its affiliates.
All rights reserved.
The copyrights to certain works contained in this software are
owned by other third parties and used and distributed under their own
licenses, such as open source.  This software is provided "as is," and
unless otherwise stated, there is no warranty, express or implied, 
including but not limited to warranties of merchantability and fitness 
for a particular purpose. Certain components of this software are 
licensed under the GNU General Public License (GPL) version 2.0 or 
GNU General Public License (GPL) version 3.0  or the GNU
Lesser General Public License (LGPL) Version 2.1 or 
Lesser General Public License (LGPL) Version 2.0. 
A copy of each such license is available at
http://www.opensource.org/licenses/gpl-2.0.php and
http://opensource.org/licenses/gpl-3.0.html and
http://www.opensource.org/licenses/lgpl-2.1.php and
http://www.gnu.org/licenses/old-licenses/library.txt.
Software
  BIOS: version 07.57
  NXOS: version 7.0(3)I5(1) [build 7.0(3)I5(0.9)]
  BIOS compile time:  06/29/2016
  NXOS image file is: bootflash:///nxos.7.0.3.I5.0.9.bin
  NXOS compile time:  8/1/2016 23:00:00 [08/02/2016 00:30:32]
  .
  .
  .

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この脆弱性の影響を受けることが分かっています。

シスコは、この脆弱性が以下のシスコ製品には影響を与えないことを確認しました。

• FirePOWER 2100 シリーズ ファイアウォール
• FirePOWER 4100 シリーズ次世代ファイアウォール製品
• Firepower 9300 セキュリティ アプライアンス
• MDS 9000 シリーズ マルチレイヤ スイッチ
• Nexus 1000V Switch for Microsoft Hyper-V
• Nexus 3600 プラットフォーム スイッチ
• Nexus 9500 R シリーズ ラインカードおよびファブリック モジュール
• UCS 6200 シリーズ ファブリック インターコネクト
• UCS 6300 シリーズ ファブリック インターコネクト
• UCS 6400 シリーズ ファブリック インターコネクト