Cisco IOS syslogクラッシュ

Cisco IOSソフトウェアの特定のバージョンでは、「syslog」ポート（ポート514）に送信された無効なユーザデータグラムプロトコル(UDP)パケットを受信すると、クラッシュまたはハングする場合があります。一般的に使用される少なくとも1つのインターネットスキャンツールが、このようなクラッシュやハングを引き起こす可能性のあるパケットを生成します。この事実は、セキュリティ専門家とセキュリティ「クラッカー」の両方によって広く読まれている公開インターネットメーリングリストで発表されており、公開情報と考えるべきです。

この脆弱性は、Cisco IOSソフトウェアバージョン11.3AA、バージョン11.3DB、または12.0ベースの任意のバージョン（12.0メインライン、12.0S、12.0T、および「12.0」で始まるその他の正規リリースバージョンを含む）を実行しているデバイスに影響を与えます。この脆弱性は、特定の特別リリースで修正されており、今後発行されるメンテナンスリリースおよび暫定リリースでも修正される予定です。影響を受けるバージョンと修正されるバージョンの詳細については、「ソフトウェアバージョンおよび修正」のセクションを参照してください。シスコでは、該当するすべてのIOSバリアントに対して修正を提供する予定です。

この脆弱性に対する設定の回避策があります。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-19990111-ios-syslog で公開されています。

このセクションには、該当製品に関する詳細が掲載されています。

この脆弱性のCisco Bug IDはCSCdk77426です。CCO登録ユーザで、ログインしている場合は、バグの詳細を表示できます。

この脆弱性は、該当するCisco IOSデバイスがポート514宛てのUDPデータグラムを受信または処理できないようにすることで回避できます。これは、周囲のデバイスでパケットフィルタリングを使用するか、または影響を受けるIOSデバイス自体で入力アクセスリストフィルタリングを使用して実行できます。

入力アクセスリストを使用する場合は、攻撃者がデータグラムを送信できる可能性のあるすべてのインターフェイスにそのリストを適用する必要があります。これには、物理LANおよびWANインターフェイスだけでなく、それらの物理インターフェイスの仮想サブインターフェイスや、GRE、L2TP、L2F、およびその他のトンネリングプロトコルに対応する仮想インターフェイスやインターフェイステンプレートも含まれます。

入力アクセスリストは、Cisco IOSデバイス自身のIPアドレスだけでなく、Cisco IOSデバイスがリッスンしているブロードキャストアドレスまたはマルチキャストアドレスで、UDPポート514を宛先とするトラフィックをブロックする必要があります。古いスタイルの「すべてゼロ」のブロードキャストと新しいスタイルの「すべてモノ」のブロードキャストをブロックすることを忘れないことが重要です。他のホストに転送されるトラフィックをブロックする必要はありません。対象となるのは、実際にCisco IOSデバイス宛てのトラフィックだけです。

すべての設定で機能する単一の入力アクセスリストはありません。リストをアクティブにする前に、特定の設定でのアクセスリストの影響を理解することが非常に重要です。

次の例は、3インターフェイスルータのアクセスリストとそのアクセスリストを適用するために必要な設定コマンドを示しています。この例では、この脆弱性の回避策としてを除き、入力フィルタリングが不要であると想定しています。

! Deny all multicasts, and all unspecified-net broadcasts, to port 514
access-list 101 deny udp any 224.0.0.0 31.255.255.255 eq 514
! Deny old-style unspecified-net broadcasts
access-list 101 deny udp any host 0.0.0.0 eq 514
! Deny network-specific broadcasts. This example assumes that all of
! the local interfaces are on the class B network 172.16.0.0, subnetted
! everywhere with mask 255.255.255.0. This will differ from network
! to network. Note that we block both new-style and old-style broadcasts.
access-list 101 deny udp any 172.16.0.255 0.0.255.0 eq 514
access-list 101 deny udp any 172.16.0.0   0.0.255.0 eq 514
! Deny packets sent to the addresses of our own network interfaces.
access-list 101 deny udp any host 172.16.1.1 eq 514
access-list 101 deny udp any host 172.16.2.1 eq 514
access-list 101 deny udp any host 172.16.3.3 eq 514
! Permit all other traffic (default would be to deny)
access-list 101 permit ip any any

! Apply the access list to the input side of each interface
interface ethernet 0
ip address 172.16.1.1 255.255.255.0
ip access-group 101 in

interface ethernet 2
ip address 172.16.2.1 255.255.255.0
ip access-group 101 in

interface ethernet 3
ip address 172.16.3.3 255.255.255.0
ip access-group 101 in

攻撃パケットが送信される可能性のあるすべての可能なアドレス、特にすべての可能なブロードキャストアドレスをリストするのは複雑な場合があります。インターフェイスで受信した正当なsyslogトラフィックを転送する必要がない場合は、そのインターフェイスに到着するすべてのsyslogトラフィックをブロックします。これは、Cisco IOSデバイスを経由してルーティングされるトラフィックだけでなく、デバイスを宛先とするトラフィックにも影響することに注意してください。IOSデバイスがsyslogパケットを転送することが予想される場合は、詳細なフィルタリングを行う必要があります。

入力アクセスリストはシステムのパフォーマンスに影響を与えるため、特にキャパシティの制限に非常に近い状態で稼働しているシステムには注意してインストールする必要があります。

この脆弱性を修正するために、多くのシスコソフトウェアイメージが特別に再発行されています。たとえば、正規リリースのバージョン12.0(2)には脆弱性が存在し、暫定バージョン12.0(2.1) ～ 12.0(2.3)にも脆弱性が存在します。12.0メインラインソフトウェアの最初の修正済み暫定バージョンは12.0(2.4)です。ただし、特別なリリース12.0(2a)には、この脆弱性に対する修正のみが含まれており、その後の12.0暫定リリースからの他のバグ修正は含まれていません。

12.0(2)を実行していて、12.0(2.4)暫定リリースをインストールすることによって不安定になるリスクを冒さずに、この問題を修正するためにアップグレードする場合は、12.0(2a)にアップグレードできます。12.0(2a)は12.0(2)ベースの「コードブランチ」を表し、12.0(2.4)の12.0メインラインに戻ります。

いずれの場合も、これらの特別リリースは1回限りのスポット修正であり、維持されません。たとえば、12.0(2a)から12.0(3)へのアップグレードパスです。

該当するソフトウェアバージョンと修復されたソフトウェアバージョンについては、次の表を参照してください。表内のすべての日付は暫定的なものであり、変更される可能性があります。

*すべての予定日は概算見積書であり、変更される可能性があります

通常のメンテナンス リリースと比較した場合、暫定リリースに対しては厳格なテストが実施されていないため、重大なバグが含まれている可能性があります。

***この脆弱性は12.0(2)Sで修正されています。12.0(2.3)S暫定リリースは、内部プロセスの考慮事項により、12.0(2)S定期リリースより前のフィールドで使用できます。このエントリは誤植ではありません。

この脆弱性は、1998年12月22日にサードパーティによって電子メーリングリスト「bugtraq@netspace.org」で発表されました。サードパーティの発表には、セキュリティに中程度の関心を持つコンピュータリテラシーを持つ人がこの脆弱性を悪用できるようにする十分な情報が含まれていました。同日、シスコは「bugtraq」リストと他のインターネットディスカッションフォーラムの両方、および「cust-security-announce@cisco.com」メーリングリストに登録してセキュリティアップデートを要求したすべてのシスコのお客様に、非公式確認と回避策の説明を送信しました。

シスコは、コンピュータセキュリティに関心のある方を対象に、複数のWorldwide Webサイトに掲載されている「bugtraq」の情報を確認しました。

問題となっているWorldwide Webサイトや、「bugtraq」メーリングリストを含むすべてのディスカッションフォーラムは一般に公開されており、その多くはコンピュータとネットワークセキュリティに関心のある人々によって広く読まれています。お客様は、潜在的な攻撃者がこの脆弱性の存在を知っている可能性があり、さらに脆弱性を不正利用する方法を知っている可能性があることを想定する必要があります。

この脆弱性は、インターネット上で公開されているツールを使用して不正利用できます。攻撃者は、この脆弱性を不正利用するためにソフトウェアを作成する必要はありません。必要なスキルは最小限です。特別な機器は必要ありません。

このような報告を特に求めていますが、シスコにはこの脆弱性の悪意のあるエクスプロイトに関する実際の報告はありません。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。