severity

アドバイザリーID : cisco-sa-20011114-gsr-unreachable

初公開日 : 2001-11-14 16:00

バージョン 1.2 : Final

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2001-0863

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

大量のICMP到達不能パケットを送信する必要がある場合、Cisco 12000シリーズルータのパフォーマンスが低下する可能性があります。この状況は通常、ネットワークの大量スキャン中に発生する可能性があります。この脆弱性は、CSCdr46528（登録ユーザ専用）、CSCdt66560(登録ユーザ専用)、およびCSCds36541(登録ユーザ専用)の3つの異なるBug IDで追跡されます。各バグIDは、ラインカードのベースとなる異なるエンジンに割り当てられます。

その他のCiscoルータおよびスイッチは、この脆弱性の影響を受けません。Cisco 12000シリーズ専用です。

脆弱性が存在するシスコ製品は他にありません。

この問題を回避するには、到達不能なInternet Control Message Protocol（ICMP；インターネット制御メッセージプロトコル）がルータから送信されないようにするか、またはレート制限を行います。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20011114-gsr-unreachableで入手できます。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

この脆弱性の影響を受けるのは、Cisco 12000シリーズインターネットルータだけです。他のルータやスイッチは影響を受けません。Cisco 12000シリーズのすべてのラインカードがこの脆弱性の影響を受けるわけではありません。脆弱性は、個々のラインカードの基盤となるテクノロジーに存在します。その技術は「エンジン」と呼ばれています。現在、シスコは次のエンジンをベースにしたラインカードを出荷しています。0、1、2、3、および4。

カードがベースとしているエンジンを判別するには、Cisco 12000ルータにログインし、イネーブルモードでshow diagコマンドを発行する必要があります。エンジンタイプはL3 Engine: xと表示されます。ここで、xは対応する番号です。

次の例は、エンジン2ベースのラインカードの出力を示しています。

c12000#show diag

SLOT 1  (RP/LC 1 ): 1 Port Packet Over SONET OC-48c/STM-16 Single Mode/SR SC-SC connector

MAIN: type 41,  800-5271-01 rev A0 dev 0

HW config: 0x04    SW key: 00-00-00

PCA:  73-3295-05 rev A0 ver 5

HW version 1.1  S/N SDK034004AY

MBUS: Embedded Agent

Test hist: 0x00    RMA#: 00-00-00    RMA hist: 0x00

DIAG: Test count: 0x00000000    Test results: 0x00000000

L3 Engine: 2 - Backbone OC48 (2.5 Gbps)

^^^^^^^^^^^^ <- Note the engine type

[further output truncated]

エンジン0、1、および2に基づくすべてのラインカードに脆弱性が存在します。エンジン3および4ベースのラインカードは該当しません。

次の表に、特定の問題に対して脆弱なCisco IOSÂ®ソフトウェアリリースを示します。

DDTS

12.0S

12.0ST

CSCdr46528(登録ユーザ専用)

脆弱

脆弱

CSCds36541(登録ユーザ専用)

脆弱

脆弱

CSCdt66560(登録ユーザ専用)

脆弱

脆弱

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

宛先への有効なパスがないか、パケットをNull0インターフェイスにルーティングする必要がある場合、受信したパケットはドロップされます。パケットは、高速ドロップ（エンジン0ラインカード）またはハードウェアドロップ(その他すべての特定用途向け集積回路(ASIC)ベースの転送ラインカード)のいずれかになります。Cisco 12000の高速およびハードウェアドロップ機能を考えると、ルータの機能に影響を与えずに、大量のトラフィックをドロップできます。パケットが廃棄されるたびに、ルータはICMP到達不能パケットを送信元に送り返す必要があります。これはインターネット標準によって義務付けられています。

ICMP到達不能の応答を必要とする大量のトラフィックがルータに送信されると、応答の処理によってCPUが飽和状態になる可能性があります。この状態は、ルータが「ブラックホール」フィルタリングを行っているとき、ネットワークのデフォルトパスとしてルータに送信されたパケットをドロップしたとき、またはルータに対する直接サービス拒否(DOS)によって発生する可能性があります。「ブラックホール」フィルタリングの詳細については、「すべてのISPが考慮する必要がある基本的なIOS機能」の「パケットフィルタとしてのブラックホールルーティング」の項を参照してください。

次の表に、ラインカードがベースとしているEngineと脆弱性の関係を示します。

DDTS

エンジン 0

エンジン 0

エンジン 2

エンジン 4

CSCdr46528

脆弱

CSCds36541

脆弱

CSCdt66560

脆弱

回避策

この問題には 2 つの回避策があります。1つ目は、ルータがICMP到達不能パケットを送信するのを防ぐことです。この動作は、no ip unreachablesコマンドによって制御されます。このコマンドは、次の例のようにインターフェイスに適用する必要があります。

router(config)#interface ethernet 0

router(config-if)#no ip unreachables

送信されるICMP到達不能パケットの数をレート制限することで、この問題を軽減できます。次に例を示します。

router(config)#ip icmp rate-limit unreachable n

nは、2つの連続するICMP到達不能パケット間のミリ秒数です。デフォルト値は 500 です。つまり、500ミリ秒ごとに1つのICMP到達不能パケットが送信されます。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

表の各行に、リリース群、および対象のプラットフォームまたは製品を示します。特定のリリーストレインに脆弱性が存在する場合、修正を含む最初のリリースと、各リリースの提供予定日が「リビルド」、「暫定」、および「メンテナンス」の列に表示されます。特定の列のリリースより前（最も古い固定リリースより前）の特定のトレインのリリースを実行しているデバイスは脆弱であることが知られており、少なくとも示されたリリースまたは新しいバージョン（最も古い固定リリースのラベルより大きい）にアップグレードする必要があります。

リリースを選択するときは、次の定義を念頭においてください。

メンテナンス

表の特定の行に含まれるラベルの、最も頻繁にテストされ、強く推奨されるリリース。

リビルド

同じトレインの以前のメンテナンスまたはメジャーリリースから構成され、特定の不具合の修正が含まれます。受け取る検査は少ないですが、修理に必要な最小限の変更しか含まれていません。

Interim

メンテナンスリリース間の定期的な間隔で構築され、受け取るテストが少なくなります。暫定リリースは、この脆弱性に対処する適切なリリースが他にない場合にのみ選択し、暫定イメージは次に利用可能なメンテナンスリリースにできるだけ早くアップグレードする必要があります。暫定リリースは製造過程では入手できず、通常はCisco TACと事前に調整しないとCCOからダウンロードできません。

Cisco IOS ソフトウェアのリリース名および省略形の詳細は、http://www.cisco.com/warp/public/620/1.html620 を参照してください。

リリース群

イメージまたはプラットフォームの説明

修正リリースのアベイラビリティ

脆弱性CSCdr46528

リビルド

暫定

メンテナンス

12.0S

コア/ISPサポート：GSR、RSP、c7200

12.0(16)S1

12.0(16.5)S

12.0(17)S

12.0ST

Cisco IOSソフトウェアリリース12.OSTは、サービスプロバイダー(ISP)向けのCisco 7200、7500/7000RSPおよび12000(GSR)シリーズルータ用の早期導入(ED)リリースです。

12.0(15.6)ST3

12.0(16.5)ST

12.0(16)ST

脆弱性CSCds36541

リビルド

暫定

メンテナンス

12.0S

コア/ISPサポート：GSR、RSP、c7200

12.0(13.6)S2

12.0(14.1)S

12.0(14)S

12.0ST

Cisco IOSソフトウェアリリース12.OSTは、サービスプロバイダー(ISP)向けのCisco 7200、7500/7000RSPおよび12000(GSR)シリーズルータ用の早期導入(ED)リリースです。

12.0(14.3)ST

脆弱性CSCdt66560

リビルド

暫定

メンテナンス

12.0S

コア/ISPサポート：GSR、RSP、c7200

12.0(16)S1

12.0(16.6)S

12.0(17)S

注意事項

日付はすべて予定であり、変更される可能性があります。

通常のメンテナンス リリースと比較した場合、暫定リリースに対しては厳格なテストが実施されていないため、重大なバグが含まれている可能性があります。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20011114-gsr-unreachable

改訂履歴

リビジョン 1.2

2006年11月6日

ブラックホールフィルタリングのURLを修正。

リビジョン 1.1

2001年11月15日

「影響を受ける製品」および「ソフトウェアバージョンと修正」セクションのテーブルエントリを変更。

リビジョン 1.0

2001年11月14日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。