High
High
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
この脆弱性は、ルータが既存のBGPセッション上のピアから不正な属性を受信したときに引き起こされる可能性があります。
この脆弱性の不正利用に成功すると、すべてのBGPセッションがリセットされる可能性があります。 この脆弱性が繰り返し悪用されると、再コンバージェンス時にパケットをBGPネイバーにルーティングできなくなる可能性があります。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。 この脆弱性に対する回避策はありません。 このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120926-bgp
注：2012年9月26日のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開には9件のCisco Security Advisoryが含まれています。8件のアドバイザリはCisco IOSソフトウェアの脆弱性に対処するもので、1件はCisco Unified Communications Managerの脆弱性に対処するものです。各Cisco IOSソフトウェアセキュリティアドバイザリには、このアドバイザリで詳述された脆弱性を修正したCisco IOSソフトウェアリリースと、2012年9月のバンドル公開に含まれるすべてのCisco IOSソフトウェアの脆弱性を修正したCisco IOSソフトウェアリリースが記載されています。
個々の公開リンクは、次のリンクの「Cisco Event Response: Semi-Annual Cisco IOS Software Security Advisory Bundled Publication」に掲載されています。
http://www.cisco.com/web/about/security/intelligence/Cisco_ERP_sep12.html
該当製品
脆弱性のある製品
次の条件の両方に当てはまる場合、Cisco IOS XRを実行しているデバイスの設定は脆弱です。
1. BGP mVPNルーティングが有効になっており、ネイバーが設定されている。 次の例は、表示される設定コマンドを示しています。
2.ネイバーセッションが確立されます。router bgp <as-id>（ルータBGP <as-id>）
アドレスファミリ<ipv4 | ipv6> mvpn
neighbor <ネイバーIP>
注：Cisco IOS XRで脆弱性のある設定は、上記で説明したaddress-family <ipv4|ipv6> mvpnのみです。MDTを使用したBGP mVPNは影響を受けません。
Cisco IOSを実行しているデバイスの設定が影響を受けるのは、次の条件の両方に当てはまる場合です。
1. BGPルーティングが有効になっており、ネイバーが設定されている。 次の例は、表示される設定コマンドを示しています。
router bgp <as-id>（ルータBGP <as-id>）2. BGPネイバーセッションが確立されます。
neighbor <ネイバーIP>
BGPセッションが確立されているかどうかを確認するには、Cisco IOSソフトウェアでshow ip bgp summaryコマンドを使用します。 Cisco IOS XRソフトウェアでは、show bgp <ipv4 | ipv6> mvpn all summaryコマンドを発行します。 次の例は、2つのネイバーセッションが確立されたIOSルータからの出力を示しています。
Router# show ip bgp summary
Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd
10.100.1.1 4 200 26 22 199 0 0 00:14:23 23
10.200.1.1 4 300 21 51 199 0 0 00:13:40 0
シスコ製品で稼働している Cisco IOS ソフトウェア リリースを確認するには、デバイスにログインして show version コマンドを使って、システム バナーを表示します。"Internetwork Operating System Software"、"Cisco IOS Software" あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。 その後ろにイメージ名が括弧の間に表示され、続いて "Version" と Cisco IOS ソフトウエア リリース名が表示されます。他のシスコ デバイスでは、show version コマンドが存在しなかったり、別の出力が表示されたりします。
次の例は、シスコ製品がCisco IOSソフトウェアリリース15.0(1)M1を実行し、インストールされているイメージ名がC3900-UNIVERSALK9-Mであることを示しています。
Router> show version
Cisco IOS Software, C3900 Software (C3900-UNIVERSALK9-M), Version 15.0(1)M1, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2009 by Cisco Systems, Inc.
Compiled Wed 02-Dec-09 17:17 by prod_rel_team
!--- output truncated
Cisco IOSソフトウェアのリリース命名規則の追加情報は、次のリンクの『White Paper: Cisco IOS and NX-OS Software Reference Guide』で確認できます。 http://www.cisco.com/web/about/security/intelligence/ios-ref.htmlを参照。
脆弱性を含んでいないことが確認された製品
次の例は、BGPが有効で、2つのネイバーが設定されているが、リモートBGPピアとのセッションが確立されていないルータからの出力を示しています。
Router# show ip bgp summary
Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd
10.100.1.1 4 200 0 0 0 0 0 never Idle
10.200.1.1 4 300 0 2 0 0 0 never Idle
詳細
この脆弱性は、ルータが既存のBGPセッション上のピアから不正な属性を受信したときに引き起こされる可能性があります。 ルータに脆弱性が生じるためには、少なくとも 1 つの BGP ネイバー セッションが確立されている必要があります。
この脆弱性が不正利用されると、すべてのBGPピアがリセットされる可能性があります。 この脆弱性が繰り返し悪用されると、再コンバージェンス時にパケットをBGPネイバーにルーティングできなくなる可能性があります。
この脆弱性は、Cisco Bug ID CSCtt35379(登録ユーザ専用)およびCSCty58300(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2012-4617が割り当てられています。対応するCisco IOS XRソフトウェアのBug IDはCSCtz663224448(登録 ユーザ専用)およびCSCtz62914(登録ユーザ専用)
回避策
この脆弱性に対する回避策はありません。
役に立つ参照ドキュメントは、『Protecting BGP』ホワイトペーパー(http://www.cisco.com/web/about/security/intelligence/protecting_bgp.html)です。修正済みソフトウェア
ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。
Cisco IOS ソフトウェア
次のCisco IOSソフトウェアテーブルの各行は、Cisco IOSソフトウェアトレインに対応しています。特定のトレインに脆弱性が存在する場合、修正を含む最も古いリリースが「最初の修正済みリリース」列に表示されます。2012年9月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリースには、Cisco IOSソフトウェアセキュリティアドバイザリのバンドル公開に含まれるすべての公開済みの脆弱性を修正する最初の修正リリースが記載されています。シスコでは、可能な限り最新のリリースにアップグレードすることを推奨しています。
Cisco IOS Software Checkerを使用すると、特定のCisco IOSソフトウェアリリースに対応するシスコセキュリティアドバイザリを検索できます。このツールは、Cisco Security(SIO)ポータル(https://sec.cloudapps.cisco.com/security/center/selectIOSVersion.x)で利用できます。
| メジャー リリース | 修正済みリリースの入手可能性 | |
|---|---|---|
| Affected 12.0-Based Releases | First Fixed Release（修正された最初のリリース） | 2012年9月のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース |
| 該当する 12.0 ベースのリリースはありません。 | ||
| Affected 12.2-Based Releases | First Fixed Release（修正された最初のリリース） | 2012年9月のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース |
| 影響を受ける 12.2 ベースのリリースはありません。 | ||
| Affected 12.3-Based Releases | First Fixed Release（修正された最初のリリース） | 2012年9月のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース |
| 該当する 12.3 ベースのリリースはありません。 | ||
| Affected 12.4-Based Releases | First Fixed Release（修正された最初のリリース） | 2012年9月のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース |
| 該当する 12.4 ベースのリリースはありません。 | ||
| 影響を受ける 15.0 ベースのリリース | First Fixed Release（修正された最初のリリース） | 2012年9月のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース |
| 影響を受ける 15.0 ベースのリリースはありません。 | ||
| 影響を受ける 15.1 ベースのリリース | First Fixed Release（修正された最初のリリース） | 2012年9月のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース |
| 影響を受ける 15.1 ベースのリリースはありません。 | ||
| Affected 15.2-Based Releases | First Fixed Release（修正された最初のリリース） | 2012年9月のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース |
| 15.2GC | 脆弱性なし |
15.2(3)GCより前のリリースには脆弱性があり、15.2(3)GC以降のリリースには脆弱性はありません。最初の修正はリリース15.2T |
| 15.2JA | 脆弱性なし |
脆弱性なし |
| 1,520万 | 脆弱性なし |
脆弱性なし |
| 15.2秒 | 15.2(1)S0a 15.2(1)S2 Cisco IOS XEデバイス：「Cisco IOS XEソフトウェアの可用性」を参照してください。 |
15.2(1)S2 15.2(2)S1 15.2(4)S Cisco IOS XEデバイス：「Cisco IOS XEソフトウェアの可用性」を参照してください。 |
| 15.2SNG | 脆弱性なし |
脆弱性なし |
| 15.2T | 脆弱性なし |
15.2(1)T3 15.2(2)T2 15.2(3)T2（10月12日に入手可能） |
Cisco IOS XE ソフトウェア
Cisco IOS XEは、このアドバイザリに記載されている脆弱性の影響を受けます。| Cisco IOS XE ソフトウェア リリース | First Fixed Release（修正された最初のリリース） | 2012年9月のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリース |
|---|---|---|
| 2.1.x | 脆弱性なし | 脆弱性あり。3.6.0S以降に移行してください。 |
| 2.2.x | 脆弱性なし | 脆弱性あり。3.6.0S以降に移行してください。 |
| 2.3.x | 脆弱性なし | 脆弱性あり。3.6.0S以降に移行してください。 |
| 2.4.x | 脆弱性なし | 脆弱性あり。3.6.0S以降に移行してください。 |
| 2.5.x | 脆弱性なし | 脆弱性あり。3.6.0S以降に移行してください。 |
| 2.6.x | 脆弱性なし | 脆弱性あり。3.6.0S以降に移行してください。 |
| 3.1.xS | 脆弱性なし | 3.1.4S |
| 3.1.xSG | 脆弱性なし | 脆弱性あり。3.2.5SG以降に移行してください。 |
| 3.2.xS | 脆弱性なし | 脆弱性あり。3.6.0S以降に移行してください。 |
| 3.2.xSG | 脆弱性なし | 3.2.5SG |
| 3.2.xSO | 脆弱性なし | 脆弱性あり。3.3.1SG以降に移行してください。 |
| 3.3.xS | 脆弱性なし | 脆弱性あり。3.6.0S以降に移行してください。 |
| 3.3xSG | 脆弱性なし | 3.3.1SG |
| 3.4.xS | 脆弱性なし | 脆弱性あり。3.6.0S以降に移行してください。 |
| 3.5.xS | 3.5.2S | 脆弱性あり。3.6.0S以降に移行してください。 |
| 3.6.xS | 脆弱性なし | 脆弱性なし |
| 3.7xS | 脆弱性なし | 脆弱性なし |
Cisco IOS XR ソフトウェア
Cisco IOS XRソフトウェアリリース4.1.0、4.1.1、4.1.2、4.2.0、4.2.1、および4.2.2は、このアドバイザリに記載されている脆弱性の影響を受けます。
| Release | Platform | CSCtz62914 SMU ID | CSCtz63248 SMU ID |
|---|---|---|---|
| 4.1.0 | c12k | 0.AA06458 | 0.AA06464 |
| 4.1.0 | CRS | 0.AA06437 | 0.AA06399 |
| 4.1.0 | asr9k | 0.AA06449 | 0.AA06444 |
| 4.1.1 | c12k | 0.AA06459 | 0.AA06465 |
| 4.1.1 | CRS | 0.AA06438 | 0.AA06400 |
| 4.1.1 | asr9k | 0.AA06450 | 0.AA06445 |
| 4.1.2 | c12k | 0.AA06460 | 0.AA06466 |
| 4.1.2 | CRS | 0.AA06439 | 0.AA06401 |
| 4.1.2 | asr9k | 0.AA06451 | 0.AA06446 |
| 4.2.0 | c12k | 0.AA06461 | 0.AA06467 |
| 4.2.0 | CRS | 0.AA06440 | 0.AA06402 |
| 4.2.0 | asr9k | 0.AA06452 | 0.AA06447 |
| 4.2.0 | asr9k(PX) | 0.AA06453 | 0.AA06448 |
| 4.2.1 | c12k | 0.AA06462 | 0.AA06546 |
| 4.2.1 | CRS | 0.AA06441 | 0.AA06547 |
| 4.2.1 | asr9k | 0.AA06454 | 0.AA06548 |
| 4.2.1 | asr9k(PX) | 0.AA06455 | 0.AA06549 |
| 4.2.2 | asr9k | 0.AA06581 | 0.AA06550 |
| 4.2.2 | asr9k(PX) | 0.AA06582 | 0.AA06551 |
推奨事項
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。
この脆弱性は、テスト中にシスコ内部で発見されました。
URL
改訂履歴
| リビジョン 1.1 | 2012-10月4 | 「脆弱性のある製品」セクションにmVPN MDTの注記を追加。 |
| リビジョン 1.0 | 2012年9月26日 | 初版リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。