Cisco Security Advisory: Cisco IOS Software Network Address Translation Vulnerability

Cisco IOS ソフトウェアを実行しているシスコ デバイスで、NAT が設定されており、かつ SIP に対する NAT のサポートが含まれる場合、脆弱性が存在します。

• 稼働中のデバイスで NAT が有効か確認する
• デバイスの設定に NAT コマンドが含まれているか確認する

稼働中のデバイスで NAT が有効か確認する

Cisco IOS デバイスで NAT が有効になっているかどうかを確認するために推奨される方法は、デバイスにログインし、show ip nat statistics コマンドを実行することです。NAT が有効な場合は、「Outside interfaces」および「Inside interfaces」の各セクションに少なくとも 1 つのインターフェイスが表示されます。次の例は、NAT 機能が有効になっているデバイスでの表示例です。

Router#show ip nat statistics

Total translations: 2 (0 static, 2 dynamic; 0 extended)
Outside interfaces: Serial0
Inside interfaces: Ethernet1
Hits: 135  Misses: 5
Expired translations: 2
Dynamic mappings:
-- Inside Source
access-list 1 pool mypool refcount 2
 pool mypool: netmask 255.255.255.0
        start 192.168.10.1 end 192.168.10.254
        type generic, total addresses 14, allocated 2 (14%), misses 0

Cisco IOS ソフトウェア リリースによっては、インターフェイスの一覧が「Outside interfaces」および 「Inside interfaces」に続く行に表示されることもあります。show コマンドで section フィルタをサポートしているリリースでは、次の例に示すように、show ip nat statistics | section interfaces コマンドを使用して NAT が有効かどうかを確認できます。 

Router> show ip nat statistics | section interfaces
Outside interfaces:
  GigabitEthernet0/0
Inside interfaces: 
  GigabitEthernet0/1
Router>

デバイスの設定に NAT コマンドが含まれているか確認する

別の確認方法もあります。Cisco IOS ソフトウェアの設定において NAT が有効になっていれば、ip nat inside または ip nat outside コマンドが異なるインターフェイスで存在しています。または NAT Virtual Interface の場合は、ip nat enable インターフェイス コマンドが存在していれば有効です。

Cisco IOS ソフトウェア リリースを確認する

シスコ製品で稼働している Cisco IOS ソフトウェア リリースを確認するには、デバイスにログインし show version コマンドを実行してシステム バナーを表示させます。「Internetwork Operating System Software」、「Cisco IOS Software」あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。その後ろにイメージ名が括弧の間に表示され、続いてバージョンと Cisco IOS ソフトウェア リリース名が表示されます。他のシスコ デバイスでは、show version コマンドがない場合や、表示が異なる場合があります。

次の例は、シスコ製品で Cisco IOS ソフトウェア リリース 15.0(1)M1 が稼働し、インストールされているイメージ名が C3900-UNIVERSALK9-M であることを示しています。

Router> show version 
Cisco IOS Software, C3900 Software (C3900-UNIVERSALK9-M), Version 15.0(1)M1, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2009 by Cisco Systems, Inc.
Compiled Wed 02-Dec-09 17:17 by prod_rel_team

!--- 出力は省略されています。 

Cisco IOS ソフトウェアのリリース命名規則の追加情報は以下のリンクにある「White Paper: Cisco IOS and NX-OS Software Reference Guide」で確認できます。http://www.cisco.com/web/about/security/intelligence/ios-ref.html

サービス契約をご利用のお客様は、通常のアップデート チャネルからアップグレード ソフトウェアを入手してください。ほとんどのお客様は、Cisco.com の Software Center からアップグレードを入手することができます。http://www.cisco.com

シスコ パートナー、正規販売代理店、サービス プロバイダーなど、サードパーティのサポート会社と以前に契約していたか、または現在契約しており、その会社からシスコ製品の提供または保守を受けているお客様は、該当するサポート会社に連絡し、適切な処置について支援を受けてください。

回避策の効果は、使用製品、ネットワーク トポロジー、トラフィックの性質や組織の目的などのお客様の状況に依存します。影響製品およびリリースが多種多様であるため、回避策を実際に展開する前に、対象とするネットワークで適用する回避策または修正が最適であるか、お客様のサービス プロバイダーやサポート会社にご相談ください。

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティ ベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center（TAC）に連絡してアップグレードを入手してください。

• +1 800 553 2447（北米内からのフリー ダイヤル）
• +1 408 526 7209（北米以外からの有料通話）
• 電子メール：tac@cisco.com

無償アップグレードの対象であることをご証明いただくために、製品のシリアル番号と、このアドバイザリの URL をご用意ください。サービス契約をご利用でないお客様は TAC を通して無償アップグレードをお求めください。

さまざまな言語向けの各地の電話番号、説明、電子メール アドレスなどの、この他の TAC の連絡先情報については、シスコ ワールドワイドお問い合わせ先を参照してください。http://www.cisco.com/en/US/support/tsd_cisco_worldwide_contacts.html