TECHNICAL SUPPORT

	テクニカルノーツ

Cisco Security Advisory: Crafted IP Option Vulnerability

Advisory ID:   cisco-sa-20070124-crafted-ip-option

Revision 1.0

最終更新日 2007 年 1 月 24 日 16:00 UTC (GMT)

公開日 2007 年 1 月 24 日 16:00 UTC (GMT)

目次

要約
該当製品
詳細
影響
ソフトウェアバージョンおよび修正
回避策
修正ソフトウェアの入手
不正利用事例と公表
この通知のステータス: FINAL
情報配信
更新履歴
シスコセキュリティ手順

要約 

Cisco IOS または Cisco IOS XR の稼動する シスコ・ルータまたはスイッチには、リモートからの利用が可能な 不正な IP オプションに関する脆弱性が存在し、Denial of Service(サービス妨害, DoS)攻撃を受ける可能性があります。また、この脆弱性を利用して不正なコードが実行される可能性があります。本脆弱性は、特定の不正な IP オプションを IP ヘッダに含む Internet Control Message Protocol (ICMP) パケット、Protocol Independent Multicast version 2 (PIMv2) パケット、Pragmatic General Multicast (PGM) パケット、または URL Rendezvous Directory (URD) パケットが処理される際に利用される可能性があります。他の IP プロトコルはこの問題の影響を受けません。

シスコでは、本脆弱性対処用の無償のソフトウェアを提供します。

また、本脆弱性の影響を軽減する回避策もあります。

この脆弱性はシスコ社内の試験において発見されました。

本アドバイザリーは以下にて確認できます。
http://www.cisco.com/warp/public/707/cisco-sa-20070124-crafted-ip-option.shtml

該当製品

脆弱性が存在する製品

この問題は Cisco IOS または Cisco IOS XR ソフトフェアが稼動し、Internet Protocol version 4 (IPv4) パケットを処理するよう定義された全ての機器に影響します。Internet Protocol version 6 (IPv6) のみを処理する機器には影響しません。この脆弱性は、Cisco IOS ソフトウェア バージョン 9.x, 10.x, 11.x, 12.x の全ての未修正バージョンと、Cisco IOS XR ソフトウェア バージョン 2.0.x, 3.0.x, 3.2.x の全ての未修正バージョンに存在します。下記の修正ソフトウェア表に記載されたバージョン以前の全ての Cisco IOS 及び Cisco IOS XR ソフトウェアは本脆弱性による影響を受ける可能性があります。

シスコ製品で稼動しているソフトウェアを確認するには、機器にログインして show version コマンドを実行し、システム・バナーを表示させます。Cisco IOS ソフトウェアの場合、"Internetwork Operating System Software" または単純に "IOS" と表示されます。そのすぐ後にイメージ名が括弧の中に表示され(場合により改行されています)、続いて "Version" と IOS リリース名が表示されます。 Cisco IOS XR ソフトウェアの場合は、"Cisco IOS XR Software" と表示され、"Version" とバージョン番号がそれに続きます。他のシスコ機器では show version コマンドが無い場合や、異なる表示をする場合があります。次の例では、シスコ製品にて Cisco IOS リリース 12.2(14)S16 が稼動し、イメージ名が C7200-IS-M であることを示しています。

Cisco Internetwork Operating System Software
IOS (tm) 7200 Software (C7200-IS-M), Version 12.2(14)S16, RELEASE SOFTWARE (fc1)

このリリース・トレインのラベルは "12.2" です。

次の例は、イメージ名が C7200-IK9S-M の 12.3(7)T12 IOS リリース が稼動している製品であることを示しています。

Cisco IOS Software, 7200 Software (C7200-IK9S-M), Version 12.3(7)T12, RELEASE SOFTWARE (fc1)

Cisco IOS のバナーについての追加情報は次をご参照下さい。
http://www.cisco.com/en/US/products/sw/iosswrel/ps1828/products_white_paper09186a008018305e.shtml#3

Cisco IOS XR ソフトウェアは Cisco IOS ソフトウェア・ファミリーの一員で、マイクロ・カーネルを使用した分散オペレーティング・システムです。Cisco IOS XR は Cisco Carrier Routing System 1 (CRS-1) および Cisco XR 12000 シリーズ・ルータでのみ稼動します。

Cisco IOS XR についての追加情報は次の URL をご参照下さい。
http://www.cisco.com/en/US/products/ps5845/index.html

次の例は、Cisco IOS XR リリース 3.3.0 が稼動するシスコ製品であることを示す show version コマンドの出力の一部です。

RP/0/RP0/CPU0:router# show version

Cisco IOS XR Software, Version 3.3.0
Copyright (c) 2006 by cisco Systems, Inc.

ROM: System Bootstrap, Version 1.32(20050525:193559) [CRS-1 ROMMON]

脆弱性が存在しない製品

Cisco IOS および Cisco IOS XR ソフトウェアの稼動していないシスコ機器は影響を受けません。CatOS ソフトウェアはこの問題の影響を受けません。

これ以外のシスコ製品において本アドバイザリーの影響を受けるものは現在確認されていません。

詳細

本脆弱性は、対象機器が以下の 3つの条件全てに該当するパケットを処理する際に影響を受ける可能性があります。

1. パケットが特定の不正 IP オプションを含んでいる。
及び
2. パケットのプロトコルが以下のいずれかである。
ICMP - Echo (Type 8) - 'ping'
ICMP - Timestamp (Type 13)
ICMP - Information Request (Type 15)
ICMP - Address Mask Request (Type 17)
PIMv2 - IP protocol 103
PGM - IP protocol 113
URD - TCP Port 465
及び
3. パケットが対象機器上の物理または仮想 IPv4 インターフェース宛てに送信される。

上記以外の ICMP メッセージ・タイプはこの問題の影響を受けません。

他の IP プロトコルはこの問題の影響を受けません。

他の TCP サービスはこの問題の影響を受けません。

不正パケットは、ローカル・ネットワーク、リモート・ネットワークいずれからでも送信可能です。

送信元 IP アドレスは偽装されていることも、そうでないこともあります。

機器を通過する(機器のいずれかの IP アドレスが宛先でない)パケットは本脆弱性による問題のトリガーとはならず、機器は影響を受けません。

この脆弱性は以下に記述されています。

Cisco bug ID CSCec71950 ( 登録 ユーザーのみ) 　対象製品: Cisco IOS
Cisco bug ID CSCeh52410 ( 登録 ユーザーのみ)　対象製品: Cisco IOS XR

Cisco IOS

Cisco IOS ソフトウェアが稼動し脆弱性のある機器へ直接不正パケットが送信されると機器のリロードの発生、または不正コードが実行される可能性があります。

Cisco IOS XR

Cisco IOS XR ソフトウェアが稼動し脆弱性のある機器へ直接不正パケットが送信されると ipv4_io プロセスのリスタートの発生、または不正コードが実行される可能性があります。ipv4_io プロセスが稼動するのは、ルート・プロセッサ (RP)、分散ルート・プロセッサ (DRP)、モジュラ・サービス・カード (MSC)を含む CRS-1 ノード、及び XR 12000 ラインカードです。ipv4_io プロセスがリスタートしている間は、機器宛の ICMP トラフィックと、例外パント処理されるトラフィックは全てドロップされます。例外パント処理の例としては、IPヘッダに IP オプションがある場合や Time-to-Live 値が 0 または 1 の場合等、IP ヘッダでの追加処理が必要なものや、レイヤ 2 キープアライブなどが挙げられます。ノードやライン・カード宛ての CLNS トラフィックは影響を受けません。ipv4_io プロセスが繰り返しリスタートした場合、CRS-1 ノードや XR 12000 ライン・カードが再起動する可能性があり、ノードやラインカードを通過するトラフィックに対して Denial of Service(サービス妨害, DoS)状態の原因となりえます。

各 ICMP メッセージ・タイプの機器での定義

ICMP タイプ 8

全ての Cisco IOS 及び Cisco IOS XR バージョンが稼働する機器においてデフォルトで ICMP echo-request(タイプ 8)パケットが処理されます。この動作を変更することは出来ません。

ICMP タイプ 13

全ての Cisco IOS バージョンが稼働する機器においてデフォルトで ICMP timestamp(タイプ 13)パケットが処理されます。この動作を変更することは出来ません。

全ての Cisco IOS XR バージョンが稼働する機器においてデフォルトで ICMP timestamp(タイプ 13)パケットは処理されません。この動作を変更することは出来ません。

ICMP タイプ 15

CSCdz50424 の実装により、ルータはデフォルトでは ICMP information request(タイプ 15)パケットを処理しなくなりました。CSCdz50424 を含む Cisco IOS は 12.3, 12.3T, 12.4, 12.4T および 12.0S と 12.2S の最近のものです。詳細は CSCdz50424 ( 登録 ユーザーのみ)をご確認下さい。
CSCdz50424 を実装した Cisco IOS では、ICMP information request パケットを処理するように変更されたルータは、ip information-reply インターフェース・コンフィギュレーション・コマンドが定義されています。これは、show running-config コマンドを実行することで以下の例のように確認できます。

router#show running-config | include information-reply
ip information-reply

または、

router#show running-config

interface FastEthernet0/0
ip address 192.0.2.1 255.255.255.0
ip information-reply

他の全ての Cisco IOS バージョンでは、デフォルトでは ICMP information request (タイプ 15)パケットを処理します。この動作は変更できません。この動作がデフォルトで、機器に ip information-reply が実装されていないからです。

全ての IOS XR バージョンの稼動する機器では、デフォルトで ICMP information request (タイプ 15) パケットは処理されません。この動作は変更できません。

ICMP タイプ 17

Cisco IOS バージョン 10.0 より、デフォルトでは ICMP address mask request (タイプ 17) パケットは処理されません。ICMP address mask request パケットを処理するように変更されたルータでは、ip mask-reply インターフェース・コンフィギュレーション・コマンドが定義されています。これは、show running-config コマンドを実行することで以下の例のように確認できます。

router#show running-config | include mask-reply
ip mask-reply

または、

router#show running-config

interface FastEthernet0/0
ip address 192.0.2.1 255.255.255.0
ip mask-reply

全ての IOS XR バージョンの稼動する機器において、デフォルトでは ICMP address mask request (タイプ 17) は処理されません。ICMP address mask request パケットを処理するように変更されたルータでは、ip mask-reply インターフェース・コンフィギュレーション・コマンドが定義されています。これは、show running-config コマンドを実行することで以下の例のように確認できます。

RP/0/RP0/CPU0:router#show running-config | include mask-reply
Building configuration...
ipv4 mask-reply

または、

RP/0/RP0/CPU0:router#show running-config

interface POS0/1/3/0
ipv4 address 192.0.2.1 255.255.255.252
ipv4 mask-reply

Protocol Independent Multicast Version 2 (PIMv2) の定義された機器

Cisco IOS

PIMv2 を処理するように定義された Cisco IOS の稼動するルータでは、"ip pim" で始まるインターフェース・コンフィギュレーション・コマンドが定義されています。これは、show running-conifg コマンドを実行することで以下のように確認できます。

router#show running-config | include ip pim
ip pim sparse-mode

または、

router#show running-config

interface FastEthernet0/0
ip address 192.0.2.1 255.255.255.0
ip pim sparse-dense-mode

ルータが PIMv2 を処理するように定義されているかどうかは、次の例のように show ip pim interface コマンドを用いて確認することもできます。

router#show ip pim interface 

Address        Interface              Ver/    Nbr     Query DR     DR
                                             Mode  Count  Intvl   Prior
192.0.2.1      FastEthernet0/0     v1/S   0        30     1       0.0.0.0
192.168.1.1   FastEthernet1/0      v2/SD  0        30     1       0.0.0.0
  

PIMv2 が稼動するインターフェースでは、Ver/Mode カラムの下に "v2/" と表示されます。
PIM の定義されていないインターフェースは、このコマンドに表示されません。

PIM のデフォルトのバージョンは PIMv2 です。PIMv1 メッセージだけを処理するように定義されたルータは PIMv2 への攻撃に対して脆弱ではありません。PIM の定義されていないルータも PIMv2 への攻撃に対して脆弱ではありません。PIM はデフォルトでは有効ではありません。

PIM についての追加情報は以下をご参照下さい。
http://www.cisco.com/en/US/products/sw/iosswrel/ps1835/products_configuration_guide_chapter09186a00800ca794.html

Cisco IOS XR

Cisco IOS XR が稼動する機器で PIMv2 パケットが処理されるように定義されているかを確認するためには、次の例のように show pim interface コマンドを使用します。

RP/0/0/CPU0:router#show pim interface 

Address                     Interface              PIM  Nbr   Hello  DR    DR
                                                         Count Intvl  Prior

192.168.1.1                 Loopback0              on   1     30     1     this system
192.168.2.1                 MgmtEth0/0/CPU0/0      off  0     30     1     not elected
192.168.3.1                 Loopback1              on   1     30     1     this system
192.168.4.1                 Loopback3              on   1     30     1     this system
192.168.5.1                 POS0/4/0/0             on   1     30     1     this system
192.0.2.1                   POS0/4/0/1             on   1     30     1     this system
  

PIMv2 の稼動するインターフェースは PIM カラムにて "on" と表示されます。PIM の定義されていないインターフェースは PIM カラムにて "off" と表示されます。

Cisco IOS XR は PIMv1 をサポートしません。Cisco IOS XR において PIM はデフォルトでは有効ではありません。

Cisco IOS XR における PIM の追加情報は以下をご参照ください。
http://www.cisco.com/en/US/products/ps5845/products_configuration_guide_chapter09186a008069a8a2.html

Pragmatic General Multicast (PGM) の定義された機器

PGM を処理するように定義されたルータでは、ip pgm router インターフェース・コンフィギュレーション・コマンドが定義されています。これは、show running-config コマンドを実行することで以下の例のように確認できます。

router#show running-config | include ip pgm
ip pgm router

または、

router#show running-config

interface FastEthernet1/0
ip address 192.0.2.1 255.255.255.0
ip pim sparse-dense-mode
ip pgm router

または、

router#show running-config

interface FastEthernet1/0
ip address 192.0.2.1 255.255.255.0
ip pgm router

PGM の定義されていないルータは PGM への攻撃に対して脆弱ではありません。PGM はデフォルトでは有効ではありません。

PGM に関する追加情報は以下をご参照下さい。
http://www.cisco.com/en/US/products/sw/iosswrel/ps1835/products_configuration_guide_chapter09186a00800ca798.html

Cisco IOS XR は PGM をサポートしておらず、脆弱性を利用した PGM パケットの影響を受けません。

URL Rendezvous Directory (URD) の定義された機器

URD を処理するように定義されたルータでは、ip urd または ip urd proxy インターフェース・コンフィギュレーション・コマンドが定義されています。これは、show running-config コマンドを実行することで以下の例のように確認できます。

router#show running-config | include ip urd
ip urd

または、

router#show running-config | include ip urd
ip urd proxy

または、

router#show running-config

interface FastEthernet1/0
ip address 192.0.2.1 255.255.255.0
ip pim sparse-mode
ip urd

または、

router#show running-config

interface FastEthernet1/0
ip address 192.0.2.1 255.255.255.0
ip pim sparse-dense-mode
ip urd proxy

または、

router#show running-config

interface FastEthernet1/0
ip address 192.0.2.1 255.255.255.0
ip urd

URD の定義されていないルータは URD への攻撃に対して脆弱ではありません。URD はデフォルトでは有効ではありません。

URDに関する追加情報は以下をご参照下さい。
http://www.cisco.com/en/US/products/sw/iosswrel/ps1835/products_configuration_guide_chapter09186a00800ca795.html

Cisco IOS XR は URD をサポートしておらず、脆弱性を利用した URD パケットの影響を受けません。

脆弱性スコア詳細

シスコは Common Vulnerability Scoring System（CVSS）に基づいた脆弱性のスコアリングを提供しています。
シスコは基本評価スコア（Base Score）および現状評価スコア（Temporal Score）を提供いたします。お客様はこれらを用いて環境評価スコア（Environmental Score）を算出し、個々のネットワークにおける脆弱性の影響度を導き出すことができます。

Cisco PSIRT は重み付けパラメータ（Impact Bias）を全て Normalに 設定しています。お客様はこれらの重み付けパラメータを利用し特定の脆弱性の影響を確認することが推奨されます。

CVSS は脆弱性の深刻度を表現する標準のスコアリングの方法で、対応の緊急性や優先度を決定するのに役立ちます。

シスコは以下の URL で CVSS に関する FAQ を提供しています。
http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html


またシスコは個々のネットワークにおける環境影響度を算出するツールを以下の URL にて提供しています。
http://intellishield.cisco.com/security/alertmanager/cvss

CSCec71950 ( 登録 ユーザーのみ) - Crafted IP Option may cause DoS or code execution Calculate the environmental score of CSCec71950
CVSS Base Score - 10
Access Vector	Access Complexity	Authentication	Confidentiality Impact	Integrity Impact	Availability Impact	Impact Bias
Remote	Low	Not Required	Complete	Complete	Complete	Normal
CVSS Temporal Score - 8.3
Exploitability		Remediation Level		Report Confidence
Functional		Official Fix		Confirmed

CSCeh52410 ( 登録 ユーザーのみ) - Crafted IP Option may cause ipv4-io DoS or code execution Calculate the environmental score of CSCeh52410
CVSS Base Score - 10
Access Vector	Access Complexity	Authentication	Confidentiality Impact	Integrity Impact	Availability Impact	Impact Bias
Remote	Low	Not Required	Complete	Complete	Complete	Normal
CVSS Temporal Score - 8.3
Exploitability		Remediation Level		Report Confidence
Functional		Official Fix		Confirmed

影響

Cisco IOS

Cisco IOS における脆弱性の利用に成功した場合、機器のリロードまたは不正コード実行の可能性があります。継続的な攻撃は結果的にサービス妨害攻撃（DoS）となります。

Cisco IOS XR

Cisco IOS XR における脆弱性の利用に成功した場合、ipv4_io プロセスのリスタートまたは不正コード実行の可能性があります。継続的な攻撃は CRS-1 ノードまたは XR 12000 ラインカードの再起動につながり、結果的にサービス妨害攻撃（DoS）となります。

ソフトウェアバージョンおよび修正

ソフトウェアのアップグレードを検討する際には、http://www.cisco.com/go/psirt およびそれ以降のアドバイザリも参照して、状況と完全なアップグレード ソリューションを判断してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。 情報が不明確な場合は、シスコ Technical Assistance Center（TAC） もしくは契約している保守会社にお問い合せください。


以下の Cisco IOS ソフトウェアの表の各行は、対象となるリリーストレイン、プラットフォームおよび 製品群を示します。あるリリーストレインが脆弱である場合、修正が組み込まれている最も早いリリース （最初に修正されたリリース）とそれが利用可能となる予定日が "Rebuild" and "Maintenance" の列に 示されます。リリーストレインで示されたリリースより前のものを使用している機器は脆弱であることが知られています。 使用するリリースは少なくとも示されたリリース以降へアップグレードすることが推奨されます。

"Rebuild" および "Maintenance" の用語に関する情報は以下をご参照ください。
http://www.cisco.com/warp/public/620/1.html

注意：2007年1月24日に3つのIOS関連のSecurity AdvisoryとField Noticeが発行されます。個々のアドバイサリーはそのアドバイサリー内の問題を解決するリリースについてのみ記載しています。全ての修正が含まれたソフトウェア一覧は http://www.cisco.com/warp/ public/707/cisco-sa-20070124-bundle.shtml にて確認できます。ここでは3つ全ての脆弱性に対応するソフトウェアリリースを選択することができます。1月24日に発行されるアドバイサリー及びField Notice は以下の通りです。

* http://www.cisco.com/warp/public/707/cisco-sa-20070124-IOS-ipv6.shtml
* http://www.cisco.com/warp/public/707/cisco-sa-20070124-crafted-tcp.shtml
* http://www.cisco.com/warp/public/707/cisco-sa-20070124-crafted-ip-option.shtml
* http://www.cisco.com/warp/public/770/fn62613.shtml

サマータイム (DTS) の変更を含むソフトウェア・リビルドは 2007年3月に提供されます。これについてのリクエストは Technical Assistance Center（TAC）まで直接お問い合わせください。その際にこのアドバイサリーをリファレンスとしてご利用ください。

Cisco IOS XR Version	SMU ID
3.2.2 for CRS-1	AA01482
3.2.3 for CRS-1	AA01483
3.2.4 for CRS-1	AA01484
3.2.6 for CRS-1	AA01727
3.3.x for CRS-1 and XR12000	Fixed
3.4.x for CRS-1 and XR12000	Fixed

回避策

シスコ機器に適用可能な追加の軽減策については以下の "Cisco Applied Intelligence companion document" より入手可能です。

http://www.cisco.com/warp/public/707/cisco-air-20070124-crafted-ip-option.shtml

IP Options Selective Drop

IP Options Selective Drop 機能により、IP オプションを含むパケットをドロップ、または IP オプションを処理しない(無視する)ことで、影響を軽減することが可能です。 最も効果的な回避策は、グローバル・コンフィグレーション・コマンド "ip options drop" で "drop" オプションを使用することです。このコマンドは、ルータ宛て及びルータを通過する全ての IP オプション付きパケットを処理する前にドロップします。これにより、自ルータと下流のルータを防御することが可能になります。

IP Options Selective Drop 機能は Cisco12000シリーズ については 12.0(23)S、Cisco10720シリーズについては 12.0(32)S、それ以外のハードウェアについては 12.3(4)T, 12.2(25)S 及び 12.2(27)SBC 以降の IOS でサポートされています。

ただし、このコマンドを使用することにより、IP オプションを含んだ正当なパケットもドロップされることに注意してください。
影響のあるプロトコルとしては、RSVP(Microsoft NetMeeting等), MPLS TE, MPLS OAM, DVMRP, IGMPv3, IGMPv2, 及び正当な PGM が挙げられます。

NOTE: グローバル・コマンド "ip options ignore" での "ignore" オプションは、IOS12.0(23)S 以降の稼動する Cisco 12000 シリーズでのみ有効ですが、この問題の回避策とはなりません。

"IP Options Selective Drop" についての追加情報については、以下をご参照ください。
http://www.cisco.com/en/US/products/sw/iosswrel/ps1829/products_feature_guide09186a00801d4a94.html

Transit Access lists

以下のタイプのトラフィックをブロックする interface access list を設定します。

1. Echo (Ping) ICMP type 8

2. Timestamp ICMP type 13

3. Information Request ICMP type 15

4. Address Mask Request ICMP Type 17

5. Protocol Independent Multicast (PIM) IP protocol 103

6. Pragmatic General Multicast (PGM) IP protocol 113

7. URL Rendezvous Directory (URD) TCP port 465

Internet Control Message Protocol は Transmission Control Protocol/Internet Protocol (TCP/IP) プロトコル・スイートの必須要素で、エラー状態や診断情報を報告します。ICMP メッセージのフィルタは、ping や ICMP ping を使用する Windows の traceroute などのエラー状態や診断情報の報告に影響を与えます。

デバイスに PIM, PGM, または URD が設定されている場合、それらのパケットのブロックにより正常なプロトコルの動作が妨げられます。

これらのパケットの送信元 IP アドレス は容易に偽装される可能性があるので、影響のあるトラフィックは機器の全ての IPv4 インターフェースブロックすべきです。

以下の ACL は攻撃トラフィックをブロックするように特別にデザインされており、デバイスの全ての IPv4 インターフェースに適用すべきで、また、トポロジー特有のフィルタも含む必要があります。

access-list 150 deny   icmp any any echo
access-list 150 deny   icmp any any information-request
access-list 150 deny   icmp any any timestamp-request
access-list 150 deny   icmp any any mask-request
access-list 150 deny   tcp any any eq 465 
access-list 150 deny   103 any any
access-list 150 deny   113 any any
access-list 150 permit ip any any

interface serial 2/0
 ip access-group 150 in
  

Tこれらの ACL ステートメントは ネットワーク・エッジに transit access-list の一部として設定されるべきであり、その ACL を設定したルータだけではなく、内部のルータも防御します。transit ACL についての追加情報につきましては、以下の ホワイトペーパー "Transit Access Control Lists: Filtering at Your Edge" で参照可能です。
http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801afc76.shtml

以下の IOS XR ACL は攻撃トラフィックをブロックするように特別にデザインされており、デバイスの全ての IPv4 インターフェースに適用すべきで、また、トポロジー特有のフィルタも含む必要があります。

ipv4 access-list ios-xr-transit-acl
 10 deny   icmp any any echo
 20 deny   icmp any any information-request
 30 deny   icmp any any timestamp-request
 40 deny   icmp any any mask-request
 50 deny   tcp any any eq 465 
 60 deny   103 any any
 70 deny   113 any any
 80 permit ip any any


interface POS 0/2/0/2
  ipv4 access-group ios-xr-transit-acl ingress
  

Cisco IOS XR の access list の設定については以下をご参照ください。
http://www.cisco.com/en/US/products/ps5763/products_command_reference_chapter09186a00803e01ae.html

Infrastructure ACLs

ネットワークを通過するトラフィックを遮断することはしばしば困難ですが、自身の基幹機器をターゲットとした許可すべきではないトラフィックを特定し、そのようなトラフィックをネットワークの境界で遮断することは可能です。 Infrastructure ACL は、特定の脆弱性に対する回避策であると同時に、長期に渡る最善のネットワークセキュリティーと考えることが出来ます。

以下の ACL は、infrastructure access-list の一部として設定されるべきであり、基幹の IP アドレス・レンジに含まれる IP アドレスを持つ全ての機器を防御します。

Cisco IOS

access-list 150 deny   icmp any INFRASTRUCTURE_ADDRESSES echo
access-list 150 deny   icmp any INFRASTRUCTURE_ADDRESSES information-request
access-list 150 deny   icmp any INFRASTRUCTURE_ADDRESSES timestamp-request
access-list 150 deny   icmp any INFRASTRUCTURE_ADDRESSES mask-request
access-list 150 deny   tcp any INFRASTRUCTURE_ADDRESSES  eq 465 
access-list 150 deny   103 any INFRASTRUCTURE_ADDRESSES 
access-list 150 deny   113 any INFRASTRUCTURE_ADDRESSES 
access-list 150 permit ip any any

interface serial 2/0

 ip access-group 150 in
  

Cisco IOS XR

ipv4 access-list ios-xr-infrastructure-acl
 10 deny   icmp any INFRASTRUCTURE_ADDRESSES  echo
 20 deny   icmp any INFRASTRUCTURE_ADDRESSES  information-request
 30 deny   icmp any INFRASTRUCTURE_ADDRESSES  timestamp-request
 40 deny   icmp any INFRASTRUCTURE_ADDRESSES  mask-request
 50 deny   tcp any INFRASTRUCTURE_ADDRESSES  eq 465 
 60 deny   103 any INFRASTRUCTURE_ADDRESSES 
 70 deny   113 any INFRASTRUCTURE_ADDRESSES 
 80 permit ip any any


interface POS 0/2/0/2
  ipv4 access-group ios-xr-infrastructure-acl ingress
  

ホワイトペーパーの "Protecting Your Core: Infrastructure Protection Access Control Lists" は、アクセス・リストによって基幹機器を守るためのガイドラインと、推奨される導入方法が記載されています。

http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801a1a55.shtml

Cisco IOS XR での access list の設定については以下をご参照ください。
http://www.cisco.com/en/US/products/ps5763/products_command_reference_chapter09186a00803e01ae.html

Receive ACLs

分散型のプラットフォームにおいて、Cisco12000シリーズ (GSR) では 12.0(21)S2、Cisco7500 シリーズでは 12.0(24)S、 Cisco10720シリーズでは 12.0(31)S の IOS ソフトウェアにてサポートされている Receive ACL が選択肢となります。Receive ACL は悪影響を及ぼすトラフィックがルートプロセッサに影響する前に、そのトラフィックから機器を防御することができます。
Receive ACL は、それが設定された機器だけを防御するためにデザインされています。
Cisco12000 シリーズ では通過トラフィックは Receive ACL による影響を受けません。そのため、以下の ACL の例において宛先 IP アドレス "any" が用いられ、ACL は自ルーターの物理あるいは仮想 IP アドレスだけを参照します。Cisco 7500 シリーズや Cisco 10720 シリーズ においては、 IP オプション を含む通過トラフィックは Receive ACL に従って、許可または遮断されます。Receive ACL は、特定の脆弱性に対する回避策であると同時に、長期に渡る最善のネットワーク・セキュリティーと考えることが出来ます。ホワイトペーパーの "GSR: Receive Access Control Lists" には、機器宛の正当なパケットとそれ以外の遮断されるべきパケットを判断する手法が記載されています。

http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801a0a5e.shtml

以下の receive path ACL は攻撃トラフィックをブロックするように特別にデザインされています。

access-list 101 deny   icmp any any echo
access-list 101 deny   icmp any any information-request
access-list 101 deny   icmp any any timestamp-request
access-list 101 deny   icmp any any mask-request
access-list 101 deny   tcp any any eq 465 
access-list 101 deny   103 any any
access-list 101 deny   113 any any
access-list 101 permit ip any any
!
ip receive access-list 101
  

Control Plane Policing

Control Plane Policing (CoPP) により、本脆弱性の影響を軽減することが可能です。次の例では本脆弱性を利用する可能性のあるあらゆる packet を遮断しますが、それ以外の IP トラフィックは許可されます。ルータにおける IP オプション付きパケットの処理方法のために、CoPP は自ルーター宛の攻撃パケットに適用されるだけでなく、そのルータを通過する他の宛先 IP アドレスの パケットにも適用されます。このことは Cisco12000シリーズ を除くあらゆるプラットフォームに当てはまりますが、Cisco12000 シリーズでは CoPP は自ルーター宛の攻撃パケットにだけ適用されます。

access-list 100 permit icmp any any echo
access-list 100 permit icmp any any information-request
access-list 100 permit icmp any any timestamp-request
access-list 100 permit icmp any any mask-reque