日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco IOS XRソフトウェアリリース3.9.0、3.9.1、3.9.2、4.0.0、4.0.1、4.0.2、および4.1.0は、認証されていないリモートユーザが特定のIPバージョン4(IPv4)パケットを該当デバイスに送信することにより、共有ポートアダプタ(SPA)インターフェイスプロセッサのリロードをトリガーするために使用する可能性がある脆弱性の影響を受けます。
シスコはこの脆弱性に対処する無償のソフトウェアメンテナンスユニット(SMU)をリリースしました。
これらの脆弱性に対しては回避策がありません。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110525-iosxrspa で公開されています。該当製品
この脆弱性は、Cisco IOS XRソフトウェアリリース3.9.0、3.9.1、3.9.2、4.0.0、4.0.1、4.0.2、または4.1.0を実行し、SPAインターフェイスプロセッサがインストールされているすべてのデバイスに影響を与えます。
脆弱性のある製品
この脆弱性は、Cisco XR 12000シリーズルータ上のすべてのエンジン5ラインカードに影響します。エンジン5のラインカードは、SIP-600、SIP-601、SIP-501、およびSIP-401です。
シスコ製品で実行されているCisco IOS XRソフトウェアリリースは、管理者がデバイスにログインして、show versionコマンドラインインターフェイス(CLI)コマンドを発行することにより確認できます。システムバナーに「Cisco IOS XR Software」に類似するテキストが表示され、デバイスでCisco IOS XRソフトウェアが稼働していることを確認できます。ソフトウェアバージョンは「Cisco IOS XR Software」の後に表示されます。
次の例は、Cisco IOS XRソフトウェアリリース3.9.1を実行しているCisco XR 12000シリーズルータを示しています。
RP/0/0/CPU0:example#show version Wed Dec 15 10:16:47.117 singa Cisco IOS XR Software, Version 3.9.1[00] Copyright (c) 2010 by Cisco Systems, Inc. ROM: System Bootstrap, Version 12.0(20090302:133850) [rtauro-sw30346-33S 1.23dev(0.36)] DEVELOPMENT SOFTWARE Copyright (c) 1994-2009 by cisco Systems, Inc. example uptime is 26 minutes System image file is "disk0:c12k-os-mbi-3.9.1/mbiprp-rp.vm" cisco 12404/PRP (7457) processor with 3145728K bytes of memory. 7457 processor at 1266Mhz, Revision 1.2 1 Cisco 12000 Series Performance Route Processor 1 Cisco 12000 Series SPA Interface Processor-601/501/401 1 Cisco 12000 4 Port Gigabit Ethernet Controller (4 GigabitEthernet) 3 Management Ethernet 5 PLIM_QOS 8 FastEthernet 4 GigabitEthernet/IEEE 802.3 interface(s) 1019k bytes of non-volatile configuration memory. 982304k bytes of disk0: (Sector size 512 bytes). 62420k bytes of disk1: (Sector size 512 bytes). 65536k bytes of Flash internal SIMM (Sector size 256k). !--- output truncated
デバイスにSPAインターフェイスプロセッサがインストールされているかどうかを判別するには、管理者がデバイスにログインしてshow platformコマンドを発行し、システムのラインカードを表示します。出力には、「L3LC Eng 5」に類似したテキストが表示され、デバイスにSPAインターフェイスプロセッサがインストールされていることが確認されます。
次の例は、エンジン5ラインカードがインストールされているCisco XR 12000シリーズルータを示しています。
RP/0/0/CPU0:example#show platform Mon May 9 18:40:26.100 PST Node Type PLIM State Config State ----------------------------------------------------------------------------- 0/0/CPU0 PRP(Active) N/A IOS XR RUN PWR,NSHUT,MON 0/1/CPU0 L3LC Eng 5+ Jacket Card IOS XR RUN PWR,NSHUT,MON 0/1/0 SPA SPA-8XFE-TX READY PWR,NSHUT 0/2/CPU0 L3LC Eng 3 GE-4 IOS XR RUN PWR,NSHUT,MON
または、CLIコマンドshow diag | include SPA Interface Processorも、SPAインターフェイスプロセッサがインストールされているかどうかが表示されます。次の例は、SIP-401がインストールされているデバイスを示しています。
RP/0/0/CPU0:example#show diag | include SPA Interface Processor Mon May 9 18:44:23.069 PST SLOT 1 (RP/LC 1): Cisco 12000 Series SPA Interface Processor- 401 RP/0/0/CPU0:example#
脆弱性を含んでいないことが確認された製品
次の製品は、この脆弱性の影響を受けません。
- Cisco IOSソフトウェアが稼働するCisco 12000シリーズSPAインターフェイスプロセッサ
- Cisco XR 12000シリーズエンジン3ラインカード
- Cisco ASR 9000 シリーズ アグリゲーション サービス ルータ
- Cisco Carrier Routing Systemシリーズルータ
他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。
詳細
Cisco IOSソフトウェアファミリの一部であるCisco IOS XRソフトウェアは、マイクロカーネルベースの分散オペレーティングシステムインフラストラクチャを使用します。Cisco IOS XRソフトウェアは、Cisco CRS、Cisco 12000シリーズルータ、およびCisco ASR 9000シリーズアグリゲーションサービスルータで動作します。この脆弱性の影響を受けるのは、該当バージョンのCisco IOS XRソフトウェアを実行しているCisco 12000シリーズルータのSPAインターフェイスプロセッサだけです。
Cisco IOS XRソフトウェアの詳細については、次のリンク先を参照してください。http://www.cisco.com/en/US/products/ps5845/index.html
この脆弱性は、該当リリースのCisco IOS XRソフトウェアを実行していて、いずれかのSPAインターフェイスプロセッサインターフェイスにIPv4アドレスが設定されているすべてのデバイスに影響を与えます。
SPAインターフェイスプロセッサが、設定されたインターフェイスのネットワークまたはネットワークブロードキャストアドレスのいずれかを宛先とする特定のIPv4パケットを受信すると、リロードが行われ、次の例に示すようなエラーメッセージが生成されます。デバイスを通過するトラフィックは、この脆弱性を引き起こしません。
RP/0/4/CPU0:Example#LC/0/1/CPU0:Apr 26 17:16:31.745 : tx_xbma[85]: %L2-E5EGRESSQ-4-INTERRUPT : WIM error: reg 0x200000
この脆弱性は、Cisco Bug ID CSCto45095 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2011-1651が割り当てられています。
回避策
この脆弱性に対する回避策はありません。
インフラストラクチャアクセスコントロールリスト(iACL)を使用すると、この脆弱性の攻撃対象を制限できる可能性があります。ネットワークを通過するトラフィックを遮断することはしばしば困難ですが、インフラストラクチャ デバイスをターゲットとした許可すべきではないトラフィックを特定し、そのようなトラフィックをネットワークの境界で遮断することは可能です。ネットワークセキュリティのベストプラクティスとして、iACLは優れたネットワークセキュリティへの長期的な付加機能であると考える必要があります。この脆弱性で使用されるパケットの中にはトランスポートとしてUDPを利用できるものがあるため、送信元のIPアドレスをスプーフィングすることで、信頼できるIPアドレスからこれらのポートへの通信を許可するACLに違反する可能性があります。より有効な緩和策としてユニキャスト RPF を併用することもお勧めします。
iACLの詳細については、次の場所にある『Limit Network Access with Access Control Lists』を参照してください。http://www.cisco.com/web/about/security/intelligence/CiscoIOSXR.html#19
修正済みソフトウェア
アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。
|
メジャー リリース |
修正済みリリースの入手可能性 |
||
|---|---|---|---|
|
該当する3.2.X ～ 3.8.Xベースのリリース |
SMU ID |
SMU 名 |
First Fixed Release（修正された最初のリリース） |
|
該当する3.2.X ～ 3.8.Xベースのリリースはありません |
|||
|
影響を受ける3.9.Xベースのリリース |
SMU ID |
SMU 名 |
First Fixed Release（修正された最初のリリース） |
|
3.9.0 |
なし |
使用可能なSMUがありません。サポート組織に問い合わせてください |
最初の修正済みリリースはありません。4.0.3、4.1.1以降に移行してください。 |
|
3.9.1 |
0.AA04896 |
c12k-os-mbi-3.9.1.CSCto45095（入手可能） |
最初の修正済みリリースはありません。4.0.3、4.1.1以降に移行してください。 |
|
3.9.2 |
0.AA04907 |
c12k-os-mbi-3.9.2.CSCto45095（入手可能） |
最初の修正済みリリースはありません。4.0.3、4.1.1以降に移行してください。 |
|
影響を受ける4.0.xベースのリリース |
SMU ID |
SMU 名 |
First Fixed Release（修正された最初のリリース） |
|
4.0.0 |
なし |
使用可能なSMUがありません。サポート組織に問い合わせてください |
4.0.3 |
|
4.0.1 |
0.AA04884 |
c12k-4.0.1.CSCto45095 |
4.0.3 |
|
4.0.3 |
Not affected |
||
|
該当4.1.xベースのリリース |
SMU ID |
SMU 名 |
First Fixed Release（修正された最初のリリース） |
|
4.1.0 |
0.AA04976 |
c12k-4.1.0.CSCto45095 |
4.1.1 |
|
4.1.1 |
Not affected |
||
推奨事項
不正利用事例と公式発表
この脆弱性は、カスタマーサポートコールの対応時に発見されました。
URL
改訂履歴
|
リビジョン 1.0 |
2011年5月25日 |
初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。