High

アドバイザリーID : cisco-sa-20130327-ike

初公開日 : 2013-03-27 16:00

最終更新日 : 2013-04-11 15:30

バージョン 1.1 : Final

CVSSスコア : 7.8

回避策 : No Workarounds available

Cisco バグ ID : CSCth81055

CVE-2013-1144

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco IOSソフトウェアのインターネットキーエクスチェンジ(IKE)機能には、サービス拒否(DoS)の脆弱性が存在します。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性を軽減する回避策はありません。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130327-ike

注：2013年3月27日のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開には、7件のCisco Security Advisoryが含まれています。 すべてのアドバイザリは、Cisco IOSソフトウェアの脆弱性に対処しています。各Cisco IOSソフトウェアセキュリティアドバイザリには、このアドバイザリに記載されている脆弱性を修正したCisco IOSソフトウェアリリースと、2013年3月のバンドル公開に含まれるすべてのCisco IOSソフトウェアの脆弱性を修正したCisco IOSソフトウェアリリースが記載されています。

個々の公開リンクは、次のリンクの「Cisco Event Response: Semiannual Cisco IOS Software Security Advisory Bundled Publication」にあります。

http://www.cisco.com/web/about/security/intelligence/Cisco_ERP_mar13.html

該当製品

IKEバージョン2(IKEv2)をサポートせず、IKEバージョン1(IKEv1)を使用するように設定されているCisco IOSソフトウェアの該当バージョンのソフトウェアイメージを実行している場合、Cisco IOSデバイスには脆弱性が存在します。

脆弱性のある製品

デバイスが該当バージョンのCisco IOSソフトウェアを実行しているかどうかを確認する

この脆弱性は、15.1GC、15.1T、および15.1XBのCisco IOSソフトウェアリリーストレインに影響を与えます。 他のCisco IOSソフトウェアリリーストレインは影響を受けません。

シスコ製品で稼働している Cisco IOS ソフトウェア リリースを確認するには、デバイスにログインして show version コマンドを使って、システム バナーを表示します。"Internetwork Operating System Software"、"Cisco IOS Software" あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。 その後ろにイメージ名が括弧の間に表示され、続いて "Version" と Cisco IOS ソフトウエア リリース名が表示されます。他のシスコ デバイスでは、show version コマンドが存在しなかったり、別の出力が表示されたりします。

次の例は、Cisco IOSソフトウェアリリース15.0(1)M1を実行し、インストールされているイメージ名がC3900-UNIVERSALK9-Mであるシスコ製品を示しています。

Router> show version

Cisco IOS Software, C3900 Software (C3900-UNIVERSALK9-M), Version 15.0(1)M1, RELEASE SOFTWARE (fc1)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2009 by Cisco Systems, Inc.

Compiled Wed 02-Dec-09 17:17 by prod_rel_team

!--- output truncated

Cisco IOSソフトウェアリリースの命名規則の追加情報は、次のURLにある『White Paper: Cisco IOS and NX-OS Software Reference Guide』を参照してください。 http://www.cisco.com/web/about/security/intelligence/ios-ref.html.

Cisco IOSソフトウェアバージョンがIKEv2をサポートしているかどうかを確認する

Cisco IOSソフトウェアでは、ソフトウェアバージョン15.1(1)Tで一部のプラットフォームに対してIKEv2のサポートが導入されました。 デバイスにIKEv2をサポートするイメージがあるかどうかを確認するには、デバイスにログインし、コマンドラインインターフェイス(CLI)コマンド show subsys | include ikev2。 出力に ikev2 Libraryが含まれている場合、デバイスはIKEv2をサポートしています。 出力に ikev2 Libraryが含まれていない場合、デバイスはIKEv2をサポートしていません。 次の例では、デバイスがIKEv2をサポートしています。

ISR2900#show subsys | include ikev2

ikev2               Library     1.000.001

ikev2_cli_registry  Registry    1.000.001

ISR2900#

次の例では、デバイスはIKEv2をサポートしていません。

CISCO2821#show subsys | include ikev2

ikev2_cli_registry  Registry    1.000.001

CISCO2821#

デバイスがIKEv1用に設定されているかどうかを確認する

IKEv1を使用する機能は多数あり、次のような異なるバーチャルプライベートネットワーク(VPN)が含まれます。

- LAN 間 VPN

- リモート アクセス VPN（SSL VPN を除く）

- Dynamic Multipoint VPN（DMVPN）

- Group Domain of Interpretation(GDOI)

デバイスがIKEv1用に設定されているかどうかを確認するには、次の2つの方法があります。

- 実行中のデバイスでIKEポートが開いているかどうかを確認する

- デバイス設定にIKEv1機能が含まれているかどうかを確認する

実行中のデバイスでIKEポートが開いているかどうかの確認

デバイスにIKEが設定されているかどうかを確認するには、show udp CLIコマンドを発行することをお勧めします。デバイスでUDPポート500、UDPポート4500、UDPポート848、またはUDPポート4848が開いている場合は、IKEパケットを処理しています。

次の例では、IPv4またはIPv6のいずれかを使用して、UDPポート500およびUDPポート4500でIKEパケットを処理するようにデバイスが設定されています。

Router#show udp

Proto        Remote      Port      Local       Port  In Out  Stat TTY OutputIF

17       --listen--          --any--          1975   0   0 1000001   0

17       --listen--          192.168.100.1     500   0   0 1001011   0

17(v6)   --listen--          FD80::1           500   0   0 1020011   0

17       --listen--          192.168.100.1    4500   0   0 1001011   0

17(v6)   --listen--          FD80::1          4500   0   0 1020011   0

Router#

デバイス設定にIKEv1機能が含まれているかどうかを確認する

Cisco IOSデバイスの設定に脆弱性があるかどうかを判断するには、管理者は、IKEを使用する機能が少なくとも1つ設定されているかどうかを判断する必要があります。これは、 show run | include crypto map|tunnel protection ipsec|crypto gdoi enable modeコマンドを使用します。このコマンドの出力に tunnel protection ipsecまたは crypto gdoiのいずれかが含まれている場合、デバイスにはIKE設定が含まれています。このコマンドの出力に crypto mapが含まれている場合は、クリプトマップが ipsec-isakmpとして設定されていることを確認します。次の例は、IKEが設定されたデバイスを示しています。

router# show run | include crypto map|tunnel protection ipsec|crypto gdoi

crypto map CM 100 ipsec-isakmp

crypto map CM

router#

脆弱性を含んでいないことが確認された製品

IKEv2をサポートする該当バージョンのCisco IOSソフトウェアを実行しているシスコデバイスは、IKEv1が設定されているかどうかに関係なく影響を受けません。

次の製品はIKEv1とIKEv2の両方をサポートしており、この脆弱性の影響を受けないことが確認されています。

- Cisco ASR 5000シリーズスモールセルゲートウェイ

- Cisco Access Service Network(ASN)ゲートウェイ

- Cisco ePDG（ASR5000上）

- SAMIベースのワイヤレスセキュリティゲートウェイ(WSG)。

- Cisco NX-OS ソフトウェア

- Cisco ASA ソフトウェア

- Cisco AnyConnect

- Cisco CGR 1000ルータ

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco IOSソフトウェアには、認証されていないリモートの攻撃者がDoS状態を引き起こす可能性のある脆弱性が存在します。

この脆弱性は、該当ソフトウェアによるIKEパケットの検証が不十分であることに起因します。攻撃者は、IKEv1を利用する機能が設定されたデバイスに特定のIKEパケットを送信することで、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者は該当デバイスでメモリリークを引き起こし、DoS状態を引き起こす可能性があります。

デバイスがこの脆弱性によって不正利用されているかどうかを確認するには、古いバッファの内容を調べます。 この脆弱性の影響を受けるデバイスは、 Crypto IKE Disユーザでバッファリークを示し、 Crypto IKでリークされているバッファを示します。次の例は、この脆弱性によってメモリリークが発生しているシステムを示しています。

Router#show buffer leak

Header DataArea  Pool  Size Link  Enc    Flags      Input     Output User

49AB48C0 3F405384 Small     0    0    0        0       None       None Init

49ABB8DC 3F4072C4 Middl   419    7    1       80      Gi0/0       None Crypto IK

49ABBD58 3F407604 Middl   419    7    1       80      Gi0/0       None Crypto IK

49ABC1D4 3F407944 Middl   419    7    1       80      Gi0/0       None Crypto IK

49ABC650 3F407C84 Middl   419    7    1       80      Gi0/0       None Crypto IK

Router#show buffer leak resource user

Resource User:           Init count:       21

Resource User: Crypto IKE Dis count:      100

Resource User:  EEM ED Syslog count:       10

Resource User: IP ARP Adjacen count:        1

ネットワークでアクティブな不正利用が発生している場合は、 Crypto IKE Disのカウントが増加します。 この脆弱性は、IPv4またはIPv6のいずれかを介して不正利用される可能性があります。 この脆弱性は、デバイス宛てのトラフィックによってのみ引き起こされます。通過トラフィックは不正利用の手段にはなりません。

この脆弱性は、Cisco Bug ID CSCth81055( 登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2013-1144が割り当てられています。

回避策

この脆弱性には、次の識別メカニズムがあります。

Embedded Event Manager(EEM)

脆弱性のあるCisco IOSデバイスでは、Tool Command Language(Tcl)に基づくCisco IOS Embedded Event Manager(EEM)ポリシーを使用して、この脆弱性によって引き起こされるメモリリークを特定および検出できます。このポリシーにより、管理者はCisco IOSデバイス上の該当プロセスのメモリを監視できます。Cisco IOS EEMがこの脆弱性の不正利用の可能性を検出すると、ポリシーはネットワーク管理者にアラートを送信して応答をトリガーできます。ネットワーク管理者は、適切なタイミングで失われたメモリを回復するために、デバイスのアップグレードまたはリロードを実行することを決定できます。この例のポリシーは、メモリが引き続き廃棄され、EEM_IKE_BUFF_INCR_THRESに到達し、IKEバッファがEEM_IKE_BUFF_INCR_THRES回ドロップした場合にsyslogを送信するTclスクリプトに基づいています。IKEバッファが解放されると、カウンタはゼロからカウントを開始します。メモリリークsyslogを生成した後、スクリプトが再初期化されます。Tclスクリプトは、 https://supportforums.cisco.com/docs/DOC-30300の「Cisco Beyond: Embedded Event Manager (EEM) Scripting Community」からダウンロードできます。次に、デバイスの設定例を示します。

event manager environment EEM_MEM_LEAK_INTERVAL 20

event manager environment EEM_MEM_LEAK_MAX_RUNTIME 5

event manager environment EEM_IKE_BUFF_INCR_THRES 3

event manager environment EEM_FREE_MEMORY_THRES 70

event manager directory user policy "flash:/"

event manager policy eem_ike_mem_leak.tcl

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt のシスコ セキュリティ アドバイザリ、応答、および通知のアーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

Cisco IOS ソフトウェア

次のCisco IOSソフトウェアテーブルの各行は、Cisco IOSソフトウェアトレインに対応しています。特定のトレインに脆弱性が存在する場合、修正を含む最初のリリースが[First Fixed Release]列に表示されます。2013年3月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正済みリリースには、Cisco IOSソフトウェアセキュリティアドバイザリバンドル公開に含まれるすべての公開済みの脆弱性を修正する最初のリリースが記載されています。可能な場合は、利用可能な最新のリリースにアップグレードすることをお勧めします。

Cisco IOS Software Checkerを使用すると、特定のCisco IOSソフトウェアリリースに対応するシスコセキュリティアドバイザリを検索できます。このツールは、https://sec.cloudapps.cisco.com/security/center/selectIOSVersion.xにあるCisco Security(SIO)ポータルで利用できます。

メジャー リリース

修正済みリリースの入手可能性

Affected 12.0-Based Releases

First Fixed Release（修正された最初のリリース）

2013年3月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリースをバンドル

該当する 12.0 ベースのリリースはありません。

Affected 12.2-Based Releases

First Fixed Release（修正された最初のリリース）

2013年3月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリースをバンドル

影響を受ける 12.2 ベースのリリースはありません。

Affected 12.3-Based Releases

First Fixed Release（修正された最初のリリース）

2013年3月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリースをバンドル

該当する 12.3 ベースのリリースはありません。

Affected 12.4-Based Releases

First Fixed Release（修正された最初のリリース）

2013年3月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリースをバンドル

該当する 12.4 ベースのリリースはありません。

影響を受ける 15.0 ベースのリリース

First Fixed Release（修正された最初のリリース）

2013年3月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリースをバンドル

影響を受ける 15.0 ベースのリリースはありません。

影響を受ける 15.1 ベースのリリース

First Fixed Release（修正された最初のリリース）

2013年3月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリースをバンドル

15.1EY

脆弱性なし

脆弱性あり。最初の修正はリリース15.2S

15.1GC

15.1(4)GC

15.1(4)GC1

15.1M

脆弱性なし

15.1(4)M6

15.1MR

脆弱性なし

脆弱性が存在します。このアドバイザリの「修正済みソフトウェアの取得」セクションの手順に従って、サポート組織にお問い合わせください。

15.1 MRA

脆弱性なし

脆弱性が存在します。このアドバイザリの「修正済みソフトウェアの取得」セクションの手順に従って、サポート組織にお問い合わせください。

15.1S

脆弱性なし

Cisco IOS XEデバイス：「Cisco IOS XEソフトウェアのアベイラビリティ」を参照してください。

† 脚注を参照

Cisco IOS XEデバイス：「Cisco IOS XEソフトウェアのアベイラビリティ」を参照してください。

15.1SG

脆弱性なし

Cisco IOS XEデバイス：「Cisco IOS XEソフトウェアのアベイラビリティ」を参照してください。

Cisco IOS XEデバイス：「Cisco IOS XEソフトウェアのアベイラビリティ」を参照してください。

15.1SNG

脆弱性なし

脆弱性が存在します。このアドバイザリの「修正済みソフトウェアの取得」セクションの手順に従って、サポート組織にお問い合わせください。

15.1SNH

脆弱性なし

脆弱性が存在します。このアドバイザリの「修正済みソフトウェアの取得」セクションの手順に従って、サポート組織にお問い合わせください。

15.1SNI

脆弱性なし

脆弱性が存在します。このアドバイザリの「修正済みソフトウェアの取得」セクションの手順に従って、サポート組織にお問い合わせください。

15.1SVA

脆弱性なし

脆弱性が存在します。このアドバイザリの「修正済みソフトウェアの取得」セクションの手順に従って、サポート組織にお問い合わせください。

15.1SVC

脆弱性なし

脆弱性なし

15.1SY

脆弱性なし

15.1(1)SY1（2013年5月24日に入手可能）

15.1T

15.1(3)T

脆弱性あり。最初の修正はリリース15.1M

15.1XB

脆弱性あり。最初の修正はリリース15.1T

脆弱性あり。最初の修正はリリース15.1M

影響を受ける 15.2 ベースのリリース

First Fixed Release（修正された最初のリリース）

2013年3月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリースをバンドル

影響を受ける 15.2 ベースのリリースはありません。

影響を受ける 15.3 ベースのリリース

First Fixed Release（修正された最初のリリース）

2013年3月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正リリースをバンドル

影響を受ける 15.3 ベースのリリースはありません。

* Cisco 7600シリーズルータの場合、2013年3月のバンドル公開に含まれるすべてのCisco Security Advisoriesの最初の修正済みリリースは、Cisco IOSソフトウェアリリース15.1(3)S5です。Cisco 7200および7300シリーズルータの場合、2013年3月のバンドル公開に含まれるすべてのアドバイザリに対する最初の修正済みリリースは、Cisco IOSソフトウェアリリース15.1(3)S5aです。これは、2013年4月15日に利用可能になる予定です。

Cisco IOS XE ソフトウェア

Cisco IOS XEソフトウェアは、このアドバイザリで説明されている脆弱性の影響を受けません。

Cisco IOS XR ソフトウェア

Cisco IOS XRソフトウェアは、このアドバイザリで説明されている脆弱性の影響を受けません。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

この脆弱性は、内部での脆弱性テストの一環として発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130327-ike

改訂履歴

リビジョン 1.1

2013年4月11日

15.1SGのバンドル初回修正リリースデータを変更。

リビジョン 1.0

2013年3月27日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。