severity

アドバイザリーID : cisco-sa-20050126-les

初公開日 : 2005-01-26 16:00

バージョン 1.1 : Final

回避策 : No Workarounds available

Cisco バグ ID : CSCeb56909

CVE-2005-0197

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Multi Protocol Label Switching（MPLS；マルチプロトコルラベルスイッチング）をサポートするInternetwork Operating System（IOS；インターネットワークオペレーティングシステム）を実行しているCiscoルータには、MPLSが設定されていないインターフェイスに対するDenial of Service（DoS；サービス拒否）攻撃の脆弱性が存在します。MPLSをサポートするシステムは、そのシステムがMPLS用に設定されていない場合でも脆弱です。

この脆弱性は、12.1T、12.2、12.2T、12.3、および12.3Tに基づくCisco IOSリリーストレインにのみ存在します。12.1メインライン、12.1Eに基づくリリース、および12.1より前のすべてのリリースには脆弱性はありません。

シスコでは、この脆弱性に対処する無償ソフトウェアを提供しています。

影響を軽減するための回避策があります。

この問題は、CERT/CC VU#583638で追跡されています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20050126-lesで入手できます。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

MPLSをサポートする脆弱性のあるバージョンのIOSを実行している次の製品のみが影響を受けます。

- 2600および2800シリーズルータ

- 3600、3700、および3800シリーズルータ

- 4500および4700シリーズルータ

- 5300、5350、5400シリーズアクセスサーバ

上記にリストされていない製品は該当しません。

MPLSは、IPおよびIP Plusフィーチャセットではサポートされていません。したがって、IPまたはIP Plus機能セットを備えたIOSバージョンを実行している製品には脆弱性はありません。

攻撃は、MPLSトラフィックエンジニアリングが設定されていないシステムと、MPLSが有効になっていないインターフェイスでのみ開始できます。MPLSが有効なインターフェイスは、show mpls interfacesコマンドで確認できます。

MPLSがサポートされていないシステムでは、次のような出力が表示されます。

Router#show mpls interfaces

^

% Invalid input detected at '^' marker.

Router#

MPLSは、ルータ上でさまざまな方法で有効にできます。次の出力では、インターフェイスEthernet0/0でIPに対してMPLSが有効になっているルータが示されています。

Router#show mpls interfaces

Interface              IP            Tunnel   Operational

Ethernet0/0            Yes (tdp)     No       Yes

Router#

IP用MPLSがインターフェイスで有効になっている場合、ルータはそのインターフェイスからの攻撃には影響を受けませんが、他のインターフェイスからの攻撃には脆弱です。ルータのすべてのインターフェイスでMPLS for IPを有効にすると、ルータはどのインターフェイスからの攻撃にも耐えられるようになります。MPLS for IPが有効になっているインターフェイスでは、インターフェイス設定にmpls ipまたはtag-switching ipコマンドが設定されます。

MPLS Traffic Engineering(TE)により、この脆弱性に対する保護が強化されます。MPLS TEがグローバルに有効になっている場合、ルータは任意のインターフェイスからの攻撃を受けなくなります。MPLS TEが有効になっているルータでは、show running-configの出力にmpls traffic-eng tunnelsコマンドが表示されます。

脆弱性を含んでいないことが確認された製品

脆弱性を含んでいない製品は次のとおりです。

- Cisco IOSを実行していない製品には脆弱性は存在しません。

- Cisco IOSバージョン12.0以前および12.1メインラインを実行している製品には脆弱性はありません。

- 「該当製品」セクションに記載されていない製品には脆弱性はありません(Cisco 7200、7500、12000シリーズ、およびCatalystシステムを含みますが、これらに限定されません)。

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

Multi Protocol Label Switching（MPLS；マルチプロトコルラベルスイッチング）は、ベンダーに依存しないプロトコルであり、レイヤ2(Open System Interconnection Reference Modelで定義されている)の情報をレイヤ3に統合します。MPLSの詳細については、http://www.cisco.com/warp/public/732/Tech/mplsを参照してください。

MPLSが無効になっているインターフェイスで受信されるMPLSパケットの処理には脆弱性が存在します。MPLSトラフィックエンジニアリング用に設定されたルータは、どのインターフェイスからの攻撃にも対応できます。

MPLSが無効なインターフェイス上で巧妙に細工されたパケットを受信したシスコデバイスはリセットされ、完全に機能するまでに数分かかる場合があります。この脆弱性が繰り返し悪用されると、長時間にわたるDoS攻撃が発生する可能性があります。この問題は、Bug ID CSCeb56909(登録ユーザ専用)とCSCec86420(登録ユーザ専用)に記載されています。

このような巧妙に細工されたパケットは、ローカルネットワークセグメントからのみ送信できます。

回避策

回避策の効果は、製品の組み合わせ、ネットワークトポロジ、トラフィックの動作、組織のミッションなど、お客様の状況によって異なります。該当する製品とリリースは多岐に渡るので、サービス プロバイダーやサポート機関に連絡し、ネットワーク内で使用するのに最も適した回避策を確認してから、実際に配備することを推奨いたします。

警告：この回避策を使用すると、ネットワークの動作に影響を与え、問題を引き起こす可能性があります。したがって、この脆弱性に該当する場合は、コードのアップグレードを行うことを強く推奨します。この回避策を長期的な解決策として使用することは推奨されません。

この脆弱性を軽減する回避策として、MPLSトラフィックエンジニアリング(MPLS TE)をグローバルに有効にできます。MPLSが機能するにはCisco Express Forwarding(CEF)が必要なので、MPLS TEを有効にするには、まずCEFを有効にする必要があります。

CEFとMPLS TEは、次のコマンドでイネーブルにできます。

Router(config)# ip cef

Router(config)# mpls traffic-eng tunnels

MPLS TEを有効にすると、ルータはどのインターフェイスからの攻撃にも耐えられるようになります。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、リリース トレインとそれに対応するプラットフォームまたは製品が記載されています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（「第 1 修正済みリリース」）とそれぞれの提供日が「リビルド」列と「メンテナンス」列に記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。このようなリリースは、少なくとも、示されているリリース以上（最初の修正リリース ラベル以上）にアップグレードしてする必要があります。

「リビルド」および「メンテナンス」という用語の詳細は、次の URL を参照してください。

http://www.cisco.com/warp/public/620/1.html

メジャー リリース

修正済みリリースの入手可能性

該当する 12.1 ベースのリリース

リビルド

メンテナンス

12.1DB

12.3(4)T以降への移行が必要

12.1DC

12.3(4)T以降への移行が必要

12.1T

12.2以降への移行が必要

12.1XG

12.3以降への移行が必要

12.1XI

12.2以降への移行が必要

12.1XJ

12.3以降への移行が必要

12.1XL

12.3以降への移行が必要

12.1XM

12.3以降への移行が必要

12.1XP

12.3以降への移行が必要

12.1XQ

12.3以降への移行が必要

12.1XR

12.3以降への移行が必要

12.1XT

12.3以降への移行が必要

12.1XU

12.3以降への移行が必要

12.1XV

12.3以降への移行が必要

12.1YA

12.3以降への移行が必要

12.1YB

12.3以降への移行が必要

12.1YC

12.3以降への移行が必要

12.1YD

12.3以降への移行が必要

12.1YE

12.3以降への移行が必要

12.1YF

12.3以降への移行が必要

12.1YH

12.3以降への移行が必要

12.1YI

12.3以降への移行が必要

該当する 12.2 ベースのリリース

リビルド

メンテナンス

12.2

12.2(10g)

12.2(13e)

12.2(16f)

12.2(17d)

12.2(19b)

12.2(21a)

12.2(23)

12.2B

12.2(2)B ～ 12.2(4)B7、12.3以降への移行

12.2(4)B8以降、12.3(4)T以降に移行

12.2BC

12.2(15)BC2

12.2BW

12.3以降への移行が必要

12.2BX

12.3(7)XI1以降への移行が必要

12.BY

12.3(4)T以降への移行が必要

12.2BZ

12.3(7)XI1以降への移行が必要

12.2CX

12.2(15)BC2への移行が必要

12.2CY

12.2(15)BC2への移行が必要

12.2CZ

12.2(15)CZ

12.2DA

12.2(12)DA6

12.2DD

12.3(4)T以降への移行が必要

12.2DX

12.3(4)T以降への移行が必要

12.2EW

12.2(18)EW

12.2EWA

12.2(20)EWA

12.2JA

12.2(15)JA

12.2JK

12.2(15)JK

12.2MB

12.2(19)SWへの移行

12.2MC

12.3(11)Tへの移行が必要

12.2MX

12.3(8)T以降への移行が必要

12.2SU

12.2(14)SU

12.2SW

12.2(19)SW

12.2SY

12.2(17d)SXB以降への移行が必要

12.2SZ

12.2(20)S4への移行が必要

12.2T

12.2(13)T14

12.2(15)T7

12.2XA

12.3以降への移行が必要

12.2XB

12.2(2)XB18

12.2XC

12.3T以降への移行が必要

12.2XD

12.3以降への移行が必要

12.2XE

12.3以降への移行が必要

12.2XF

12.2(15)BC2への移行が必要

12.2XG

12.3以降への移行が必要

12.2XH

12.3以降への移行が必要

12.2XI

12.3以降への移行が必要

12.2XJ

12.3以降への移行が必要

12.2XK

12.3以降への移行が必要

12.2XL

12.3以降への移行が必要

12.2XM

12.3以降への移行が必要

12.2XN

12.3以降への移行が必要

12.2XQ

12.3以降への移行が必要

12.2XR

12.2(15)XR

12.2XS

12.3以降への移行が必要

12.2XT

12.3以降への移行が必要

12.2XU

12.3以降への移行が必要

12.2XV

計画なし。

12.2XW

12.3以降への移行が必要

12.2XZ

12.3以降への移行が必要

12.2YA

12.2(4)YA8

12.2YB

12.3以降への移行が必要

12.2YC

12.3以降への移行が必要

12.2YD

12.3(8)T以降への移行が必要

12.2YE

12.2(18)S以降への移行が必要

12.2YF

12.3以降への移行が必要

12.2YG

12.3以降への移行が必要

12.2YH

12.3以降への移行が必要

12.2YJ

12.3以降への移行が必要

12.2YL

12.3T以降への移行が必要

12.2YM

12.3T以降への移行が必要

12.2YN

12.3T以降への移行が必要

12.2YO

12.2(17d)SXB以降への移行が必要

12.2YQ

12.3(4)T以降への移行が必要

12.2YR

12.3(4)T以降への移行が必要

12.2YS

12.3T以降への移行が必要

12.2YU

12.3(2)T以降への移行が必要

12.2YV

12.3(4)T以降への移行が必要

12.2YW

12.3(2)T以降への移行が必要

12.2YX

12.2(14)SUへの移行が必要

12.2YZ

12.2(20)S4への移行が必要

12.2ZB

12.3T以降への移行が必要

12.2ZC

12.3T以降への移行が必要

12.2ZD

12.3以降への移行が必要

12.2ZE

12.3以降への移行が必要

12.2ZF

12.3(4)T以降への移行が必要

12.2ZG

12.3(4)T以降への移行が必要

12.2ZH

12.3(4)T以降への移行が必要

12.2ZI

12.2(18)S以降への移行が必要

12.2ZJ

12.3T以降への移行が必要

12.2ZL

12.3(7)T以降への移行が必要

12.2ZN

12.3T以降への移行が必要

12.2ZO

12.3以降への移行が必要

12.2ZP

計画なし。

該当する 12.3 ベースのリリース

リビルド

メンテナンス

12.3

12.3(3f)

12.3(5)

12.3B

12.3(5a)B4

12.3BC

12.3(9a)BC

12.3BW

12.3(5a)B以降への移行が必要

12.3T

12.3(2)T5

12.3(4)T7

12.3(7)T

12.3XA

12.3(7)T以降への移行が必要

12.3XB

12.3(8)T以降への移行が必要

12.3XC

12.3(2)XC3への移行 – 提供開始日未定

12.3XD

12.3(4)XD

12.3XE

12.3(2)XE1

12.3XF

12.3(2)XF

12.3XG

12.3(4)XG1

12.3XH

12.3(4)XH

12.3XI

12.3(7)XI

12.3XJ

12.3(7)XJ

12.3XK

12.3(4)XK1

12.3XL

12.3(7)XL

12.3XM

12.3(7)XM

12.3XN

12.3(4)XN

12.3XQ

12.3(4)XQ

12.3XR

12.3(7)XR

12.3XS

12.3(7)XS

12.3XT

12.3(2)XT

12.3XU

12.3(8)XU

12.3XW

12.3(8)XW

12.3XX

12.3(8)XX

12.3XY

12.3(8)XY

12.3YA

12.3(8)YA

12.3YD

12.3(8)YD

12.3YE

12.3(4)YE

12.3YF

12.3(11)YF

12.3YG

12.3(8)YG

12.3YH

12.3(8)YH

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/en/US/products/products_security_advisories_listing.htmlおよび後続のアドバイザリも参照して、問題の発生の可能性と完全なアップグレードソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報が明確でない場合は、Cisco Technical Assistance Center(TAC)に問い合せてサポートを受けてください。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20050126-les

改訂履歴

リビジョン 1.1

2005年1月28日

[Summary（概要）]セクションの表現を明確にしました。

「ソフトウェアバージョンと修正」表にバージョン12.2(15)T7を追加。「ソフトウェアバージョンと修正」表からバージョン12.2S、12.2SX、12.2SXA、12.2SXB、および12.2SXDを削除。

リビジョン 1.0

2005年1月26日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。