High

アドバイザリーID : cisco-sa-20110928-ipsla

初公開日 : 2011-09-28 16:00

最終更新日 : 2012-09-21 19:19

バージョン 2.1 : Final

CVSSスコア : 7.8

回避策 : No Workarounds available

Cisco バグ ID : CSCtk67073

CVE-2011-3272

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco IOSのIPサービスレベル契約(IP SLA)機能には、サービス拒否(DoS)の脆弱性が含まれています。この脆弱性は、不正なUDPパケットが脆弱性のあるデバイスに送信されたときに引き起こされます。脆弱性のあるUDPポート番号は、デバイスの設定によって異なります。デフォルトのポートは、脆弱なUDP IP SLA操作またはUDPレスポンダポートには使用されません。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110928-ipsla で公開されています。

注：2011年9月28日のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開には、10件のCisco Security Advisoryが含まれています。9つのアドバイザリはCisco IOSソフトウェアの脆弱性に対処し、1つのアドバイザリはCisco Unified Communications Managerの脆弱性に対処します。各アドバイザリには、このアドバイザリに記載されている脆弱性を修正したCisco IOSソフトウェアリリースと、2011年9月のバンドル公開に含まれるすべての脆弱性を修正したCisco IOSソフトウェアリリースが記載されています。

個々の公開リンクは、次のリンクの「Cisco Event Response: Semiannual Cisco IOS Software Security Advisory Bundled Publication」にあります。

http://www.cisco.com/web/about/security/intelligence/Cisco_ERP_sep11.html

該当製品

脆弱性のある製品

Cisco IOSソフトウェアを実行しているシスコデバイスは、IP SLAに対して設定されている場合に脆弱性が存在します。この設定は、脆弱性が存在するIP SLA動作のレスポンダまたは発信側として設定されます。

シスコ製品で稼働している Cisco IOS ソフトウェア リリースを確認するには、デバイスにログインして show version コマンドを使って、システム バナーを表示します。"Internetwork Operating System Software"、"Cisco IOS Software" あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。 その後ろにイメージ名が括弧の間に表示され、続いて "Version" と Cisco IOS ソフトウエア リリース名が表示されます。他のシスコ デバイスでは、show version コマンドが存在しなかったり、別の出力が表示されたりします。

次の例は、Cisco IOSソフトウェアイメージが稼働しているデバイスからの出力を示しています。

Router> show version

Cisco IOS Software, C3900 Software (C3900-UNIVERSALK9-M), Version 15.0(1)M1, RELEASE SOFTWARE (fc1)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2009 by Cisco Systems, Inc.

Compiled Wed 02-Dec-09 17:17 by prod_rel_team

!--- output truncated

Cisco IOSソフトウェアのリリース命名規則の追加情報は、ホワイトペーパー『Cisco IOS and NX-OS Software Reference Guide』(http://www.cisco.com/web/about/security/intelligence/ios-ref.html)を参照してください。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

IP SLAは、Cisco IOSソフトウェアに組み込まれたエージェントで、ジッタ、遅延（遅延）、パケット損失などの一般的なネットワークパフォーマンスメトリックを測定および監視するように設計されています。

このドキュメントで説明されている脆弱性は、脆弱性のあるデバイスとポートに送信される不正なIP SLAパケットによって引き起こされます。脆弱性のあるデバイスは、IP SLA応答側または脆弱性のあるIP SLA操作の送信元デバイスになります。

この脆弱性は、Cisco Bug ID CSCtk67073 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2011-3272が割り当てられています。

脆弱性のあるIP SLAレスポンダの設定

IP SLA汎用レスポンダまたは永続的なIP SLA UDPレスポンダとして設定されたデバイスには脆弱性が存在します。

一般的なレスポンダはUDPポート1967でIP SLA制御プロトコルパケットを処理し、制御プロトコルを使用して要求されるIP SLA動作に従って、脆弱なUDPポートを動的に開きます。一般的なレスポンダの設定は次のとおりです。

ip sla responder

IP SLA UDPパーマネントレスポンダにも脆弱性が存在します。設定例を次に示します。

ip sla responder udp-echo port 300

UDPパーマネントレスポンダにはデフォルトのUDPポート番号はありません

または、show ip sla responderコマンドを使用して、一般的なレスポンダと永続的なレスポンダの両方を特定できます。一般的なレスポンダは、有効にすると脆弱になります。永続的なレスポンダは、有効になっており、「udpEcho Responder」が存在する場合にのみ脆弱です。次の例では、一般的なレスポンダは有効になっていないため脆弱ではありませんが、永続的なレスポンダはUDPエコーレスポンダで有効になっているため脆弱です。

Router# show ip sla responder

General IP SLA Responder on Control port 1967

General IP SLA Responder is: Disabled

Permanent Port IP SLA Responder

Permanent Port IP SLA Responder is: Enabled

udpEcho Responder:

IP Address             Port

0.0.0.0                 300

脆弱なIP SLA送信元デバイスの設定

IP SLAソースデバイスは、少なくとも1つのIP SLA動作が設定されているCisco IOSデバイスです。脆弱であるためには、プローブの発信元には、次のIP SLA操作のいずれかを使用する少なくとも1つのプローブがスケジュールされている必要があります。

- udp-jitter probe

- udp-echo

脆弱性のあるIP SLAソースデバイス設定には、次のコマンドがすべて含まれています。

- IP SLA動作を定義するip slaグローバル設定コマンド

- udp-echoまたはudp-jitter IP SLAコンフィギュレーションコマンド

- 脆弱性のあるIP SLA動作を使用するプローブの1つをアクティブにするip sla scheduleグローバルコンフィギュレーションコマンド

次の例は、IP SLA UDPエコーおよびUDPジッタプローブ用に設定された送信元デバイスを示しています。

ip sla 201

udp-echo 192.168.134.21 201

ip sla schedule 201 start-time now

ip sla 301

udp-jitter 192.168.134.121 122

ip sla schedule 301 start-time now

プローブの宛先UDPポートを設定する必要があります。送信元UDPポートが設定されていない場合、プローブの開始時に使用可能なポート番号が使用されます。脆弱性のある操作を発信するデバイスは、プローブの送信元UDPポートに対して脆弱性が存在し、レスポンダは、プローブに使用される宛先UDPポートに対して脆弱性が存在します。

IP SLAプローブは、簡易ネットワーク管理プロトコル(SNMP)を使用して設定できます。この場合、デフォルトでは、show running-configコマンドの出力にはIP SLAプローブ設定は含まれません。show ip sla configurationコマンドを使用すると、プローブがコマンドラインまたはSNMPのいずれかで設定されているかどうかを確認できます。

Router# show ip sla configuration | include operation

Type of operation to perform: udp-jitter

回避策

この脆弱性に対する回避策はありませんが、一般的なIP SLAレスポンダに導入して、この脆弱性の影響を軽減する対応策があります。

一般的なIP SLAレスポンダの緩和策

General Responderとして設定されているデバイスの場合、脆弱性のあるデバイスを宛先とするUDPポート1967のIP SLA制御パケットを制限して、悪用される可能性のあるUDPポートを開くのは信頼できるプローブの発信元だけに許可するようにします。これは、インフラストラクチャアクセスリストやコントロールプレーン保護などの技術を使用して実現できます。

General Responderとして設定されているデバイスについては、ネットワーク内のCiscoデバイスに適用可能な緩和策を、このアドバイザリに関連するCisco適用対応策速報(https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20110928-ipsla)で参照できます。

IP SLA永続的レスポンダの緩和

永続的レスポンダの緩和策は、各永続的レスポンダの設定済みUDPポートにアドレス指定されたUDPパケットをフィルタリングして、信頼できるデバイスのIPアドレスからのパケットを許可することです。

IP SLA送信元デバイスの緩和策

IP SLAソースデバイスの場合、緩和策は、信頼できるデバイス（つまり、IP SLA動作のターゲットであるデバイス）からのUDPパケットのみを許可することです

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

また、Cisco IOS Software Checkerは、https://sec.cloudapps.cisco.com/security/center/selectIOSVersion.xにあるCisco Security(SIO)ポータルでも入手できます。特定のバージョンのCisco IOSソフトウェアに影響を与えるセキュリティアドバイザリを確認するための機能がいくつかあります。

Cisco IOS ソフトウェア

次のCisco IOSソフトウェアテーブルの各行は、Cisco IOSソフトウェアトレインに対応しています。特定のトレインに脆弱性が存在する場合、修正を含む最初のリリースが「このアドバイザリの最初の修正済みリリース」列に表示されます。2011年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正済みリリースには、Cisco IOSソフトウェアセキュリティアドバイザリバンドル公開に含まれるすべての公開済みの脆弱性を修正する最初のリリースが記載されています。シスコでは、可能な限り最新のリリースにアップグレードすることを推奨しています。

メジャー リリース

修正済みリリースの入手可能性

Affected 12.0-Based Releases

First Fixed Release（修正された最初のリリース）

2011年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース

該当する12.0ベースのリリースはありません

Affected 12.1-Based Releases

First Fixed Release（修正された最初のリリース）

2011年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース

該当する12.1ベースのリリースはありません

Affected 12.2-Based Releases

First Fixed Release（修正された最初のリリース）

2011年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース

該当する12.2ベースのリリースはありません

Affected 12.3-Based Releases

First Fixed Release（修正された最初のリリース）

2011年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース

該当する12.3ベースのリリースはありません

Affected 12.4-Based Releases

First Fixed Release（修正された最初のリリース）

2011年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース

該当する12.4ベースのリリースはありません

影響を受ける 15.0 ベースのリリース

First Fixed Release（修正された最初のリリース）

2011年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース

該当する15.0ベースのリリースはありません

影響を受ける 15.1 ベースのリリース

First Fixed Release（修正された最初のリリース）

2011年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース

15.1EY

脆弱性なし

脆弱性が存在します。このアドバイザリの「修正済みソフトウェアの取得」セクションの手順に従って、サポート組織にお問い合わせください。

15.1GC

脆弱性あり。最初の修正はリリース15.1T

脆弱性あり。最初の修正はリリース15.1T

15.1M

脆弱性なし

15.1(4)M2（2011年9月30日に入手可能）

15.1MR

脆弱性なし

脆弱性が存在します。このアドバイザリの「修正済みソフトウェアの取得」セクションの手順に従って、サポート組織にお問い合わせください。

15.1S

15.1(2)

Cisco IOS XEデバイス：「Cisco IOS XEソフトウェアのアベイラビリティ」を参照してください。

15.1(2)S2

15.1(3)

Cisco IOS XEデバイス：「Cisco IOS XEソフトウェアのアベイラビリティ」を参照してください。

15.1T

15.1(1)T3

15.1(2)T4

15.1(3)T2

15.1(1)T4（2011年12月8日に入手可能）

15.1(2)T4

15.1(3)T2

15.1XB

脆弱性あり。最初の修正はリリース15.1T

脆弱性あり。最初の修正はリリース15.1T

影響を受ける 15.2 ベースのリリース

First Fixed Release（修正された最初のリリース）

2011年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース

該当する15.2ベースのリリースはありません

Cisco IOS XE ソフトウェア

Cisco IOS XEソフトウェアは、このドキュメントで説明されている脆弱性の影響を受けます。

Cisco IOS XEリリース

First Fixed Release（修正された最初のリリース）

2011年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース

2.1.x

脆弱性あり、3.3.2S以降に移行

脆弱性あり、3.3.2S以降に移行

2.2.x

脆弱性あり、3.3.2S以降に移行

脆弱性あり、3.3.2S以降に移行

2.3.x

脆弱性あり、3.3.2S以降に移行

脆弱性あり、3.3.2S以降に移行

2.4.x

脆弱性あり、3.3.2S以降に移行

脆弱性あり、3.3.2S以降に移行

2.5.x

脆弱性あり、3.3.2S以降に移行

脆弱性あり、3.3.2S以降に移行

2.6.x

脆弱性あり、3.3.2S以降に移行

脆弱性あり、3.3.2S以降に移行

3.1.xS

脆弱性あり、3.3.2S以降に移行

脆弱性あり、3.3.2S以降に移行

3.1.xSG

脆弱性あり、3.2.0SG以降に移行

脆弱性あり、3.2.0SG以降に移行

3.2.xS

脆弱性あり、3.3.2S以降に移行

脆弱性あり、3.3.2S以降に移行

3.2.xSG

脆弱性なし

脆弱性なし

3.3.xS

3.3.0S

3.3.2S

3.4.xS

脆弱性なし

脆弱性なし

Cisco IOS XEとCisco IOSリリースのマッピングについては、『Cisco IOS XE 2リリースノート』、『Cisco IOS XE 3Sリリースノート』、および『Cisco IOS XE 3SGリリースノート』を参照してください。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、シスコの社内テストで発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110928-ipsla

改訂履歴

リビジョン 1.2

2011年10月10日

[Details]セクションで、不正なIP SLAパケットを明確にします。

リビジョン 1.1

2011年10月7日

詳細セクションのshow running-configコマンドの表記を更新

リビジョン 1.0

2011年9月28日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。