Cisco IOSソフトウェアにおける巧妙に細工された暗号化パケットによるDenial of Service(DoS)の脆弱性

該当するバージョンのCisco IOSソフトウェアを実行しているデバイスは、次のいずれかの機能が設定されている場合に影響を受けやすくなります。

• Secure Socket Layer(SSL)バーチャルプライベートネットワーク(VPN)
  
• セキュア シェル（SSH）
  
• インターネットキーエクスチェンジ(IKE)暗号化ナンス
  

注：WebVPNおよびSSL VPN以外のSSL/HTTPS関連機能は、この脆弱性の影響を受けません。

デバイスでSSLVPNが有効になっているかどうかを確認するには、デバイスにログインして、コマンドラインインターフェイス(CLI)コマンドshow running-config | include webvpnコマンドを使用します。デバイスから何らかの出力が返された場合、SSLVPNが設定されており、そのデバイスには脆弱性が存在する可能性があります。脆弱性のある設定は、デバイスがCisco IOS WebVPN(リリース12.3(14)Tで導入)またはCisco IOS SSLVPN(リリース12.4(6)Tで導入)のどちらをサポートしているかによって異なります。次に、デバイスに脆弱性が存在するかどうかを確認する方法を示します。

「show running-config | include webvpn」に「webvpn enable」が含まれている場合、デバイスは元のCisco IOS WebVPNで設定されています。デバイスが脆弱かどうかを判断する唯一の方法は、「show running-config」の出力を調べて、webvpnがコマンド「webvpn enable」によって有効になっており、「ssl trustpoint」が設定されていることを確認することです。次の例は、Cisco IOS WebVPNが設定された脆弱性のあるデバイスを示しています。

webvpn enable
!
webvpn
 ssl trustpoint TP-self-signed-29742012

「show running-config | include webvpn」に「webvpn gateway <word>」が含まれている場合、デバイスはCisco IOS SSLVPN機能をサポートしています。「webvpn gateway」セクションの少なくとも1つに「inservice」コマンドがあるデバイスは脆弱です。次の例は、Cisco IOS SSLVPNが設定された脆弱性のあるデバイスを示しています。

Router# show running | section webvpn        
webvpn gateway Gateway
 ip address 10.1.1.1 port 443  
 ssl trustpoint Gateway-TP
 inservice
 !
Router#

Cisco IOS SSLVPNをサポートするデバイスで「webvpn gateways」が設定されていない場合、または設定されているすべての「webvpn gateways」に「no inservice」webvpn gatewayコマンドが含まれている場合は、この脆弱性は存在しません。

SSHが有効になっているかどうかを確認するには、次の例に示すようにshow ip sshコマンドを使用します。

Router#show ip ssh 
SSH Enabled - version 1.99
Authentication timeout: 120 secs; Authentication retries: 3
Minimum expected Diffie Hellman key size : 1024 bits

IKE暗号化ナンス機能が有効になっているかどうかを確認するには、show running-config | include rsa-encrコマンドを次に示します。

Router#show running-config | inc rsa-encr
 authentication rsa-encr

シスコ製品で稼働している Cisco IOS ソフトウェア リリースを確認するには、デバイスにログインして show version コマンドを使って、システム バナーを表示します。"Internetwork Operating System Software"、"Cisco IOS Software" あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。 その後ろにイメージ名が括弧の間に表示され、続いて "Version" と Cisco IOS ソフトウエア リリース名が表示されます。他のシスコ デバイスでは、show version コマンドが存在しなかったり、別の出力が表示されたりします。

以下の例は、Cisco 製品にて、IOSリリース 12.3(26) が稼動し、そのイメージ名が C2500-IS-L であることを示しています:

Router#show version
Cisco Internetwork Operating System Software
IOS (tm) 2500 Software (C2500-IS-L), Version 12.3(26), RELEASE SOFTWARE (fc2)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2008 by cisco Systems, Inc.
Compiled Mon 17-Mar-08 14:39 by dchih


!--- output truncated

次の例は、インストールされたイメージ名が C1841-ADVENTERPRISEK9-M で、Cisco IOS ソフトウェア リリース 12.4(20)T を実行しているシスコ製品を示しています。

Router#show version
Cisco IOS Software, 1841 Software (C1841-ADVENTERPRISEK9-M), Version 12.4(20)T, RELEASE SOFTWARE (fc3)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2008 by Cisco Systems, Inc.
Compiled Thu 10-Jul-08 20:25 by prod_rel_team


!--- output truncated

Cisco IOSソフトウェアリリースの命名規則の追加情報は、次のリンクの「White Paper: Cisco IOS Reference Guide」で確認できます。http://www.cisco.com/warp/public/620/1.html。

Cisco ASA 5500シリーズ適応型セキュリティアプライアンスはこの脆弱性の影響を受けません。

Cisco IOS XRソフトウェアは、この脆弱性の影響を受けません。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。