Cisco IOS ソフトウェアのネットワーク アドレス変換における Denial of Service（DoS）の脆弱性

該当する Cisco IOS ソフトウェア リリースを実行している Ciscoデバイスはセッション開始プロトコル（SIP）のマルチパート Session Description Protocol （SDP）のための NAT および NAT アプリケーション層ゲートウェイ（NAT ALG）で設定されたとき脆弱 有効に なりましたです。 SIP のマルチパート SDP のための NAT ALG はデフォルトで有効に なりません。

Cisco IOSデバイスが NAT のために設定されるかどうか判別する 2 つのメソッドがあります:

• NAT がデバイスでアクティブであるかどうか判別して下さい
• Nat コマンドがデバイスコンフィギュレーションに含まれているかどうか判別して下さい

NAT が Cisco IOSデバイスで有効に なるかどうか確かめる好まれる方法は NAT がデバイスでアクティブであるかどうか判別することです。

1 つのメソッドは SIP のマルチパート SDP のための NAT ALG が有効に なるかどうか判別して利用できます。

NAT がデバイスでアクティブであるかどうか判別して下さい

NAT がデバイスに Cisco IOSソフトウェアを、ログイン実行する Ciscoデバイスでアクティブ判別しである、 show ip nat statistics コマンドを発行するためかどうか。 NAT がアクティブである場合、「Outside インターフェイス」および「内部インターフェイス」セクションはそれぞれ少なくとも 1 つのインターフェイスが含まれています。 NAT がアクティブどこにであるか次の例にデバイスに示されています:

Router#show ip nat statistics
Total active translations: 0 (0 static, 0 dynamic; 0 extended)
Peak translations: 10, occurred 00:24:01 ago
Outside interfaces:
  FastEthernet0/0
Inside interfaces: 
  FastEthernet0/1
Hits: 134280  Misses: 0
CEF Translated packets: 134270, CEF Punted packets: 10
Expired translations: 11
Dynamic mappings:
-- Inside Source
[Id: 1] access-list NET-192.168.20.0_24 pool POOL-NET-192.168.1.0_24 refcount 0
 pool POOL-NET-192.168.1.0_24: netmask 255.255.255.0
start 192.168.1.120 end 192.168.1.128
type generic, total addresses 9, allocated 0 (0%), misses 0

Total doors: 0
Appl doors: 0
Normal doors: 0
Queued Packets: 0
Router#

インターフェイスが show ip nat statistics コマンドの出力にリストされていない場合、NAT はまだ NAT 仮想インターフェイス 機能を通してデバイスでアクティブかもしれません。 NAT がこの機能を通してアクティブであるかどうか判別するために、 提示 IP NAT nvi statistics コマンドを発行して下さい。 NAT がアクティブである場合、「NAT 使用可能なインターフェイス」セクションは少なくとも 1 つのインターフェイスが含まれています。 NAT がアクティブどこにであるか次の例にデバイスに示されています:

Router#show ip nat nvi statistics
Total active translations: 1 (0 static, 1 dynamic; 1 extended)
NAT Enabled interfaces:
  FastEthernet0/0, FastEthernet0/1
Hits: 81373  Misses: 3
CEF Translated packets: 44371, CEF Punted packets: 8
Expired translations: 3
Dynamic mappings:
-- Source [Id: 1] access-list NET-192.168.20.0_24 pool POOL-NET-192.168.1.0_24 refcount 1
 pool POOL-NET-192.168.1.0_24: netmask 255.255.255.0
start 192.168.1.120 end 192.168.1.128
type generic, total addresses 9, allocated 1 (11%), misses 0
Router#

Nat コマンドがデバイスコンフィギュレーションにあるかどうか判別して下さい

NAT が Cisco IOSソフトウェア 設定で、デバイスへのログイン判別し有効に なった、 show running-config コマンドを発行するためかどうか。 NAT がアクティブである場合、 ip nat inside および ip nat outside interface コマンドはある必要があります。 また、 NAT 仮想インターフェイスの場合には、 IP NAT イネーブル interface コマンドはあります。

注: デバイスの Cisco Easy VPN Remote クライアント機能 設定は自動的に NAT を有効に します。 NAT および Cisco Easy VPN Remote 機能によって作成されるポート アドレス変換 （PAT） コンフィギュレーションは始動か実行コンフィギュレーション ファイルに書き込まれません。 しかしこれらのコンフィギュレーションは show ip nat statistics コマンドを使用して表示することができます。

SIP のマルチパート SDP のための NAT ALG がデバイスコンフィギュレーションで有効に なるかどうか判別して下さい

Cisco IOSソフトウェアを実行する Cisco IOSデバイスで有効に なるべき SIP トラフィックのマルチパート SDP の NAT ALG に関しては IP NAT サービス許可マルチパート コマンドはデバイスコンフィギュレーションにある必要があります。 次の例は NAT が SIP のマルチパート SDP のための ALG 有効に なる デバイスを示したものです:

Router#show running-config | include ip nat service allow-multipart
ip nat service allow-multipart
Router#

デバイスの Cisco IOS ソフトウェア リリースを判別して下さい

シスコ製品上で動作している Cisco IOS ソフトウェア リリースについては、管理者がデバイスにログインして show version コマンドを発行し、システム バナーを表示することで判別できます。 "Internetwork Operating System Software"、"Cisco IOS Software" あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。 その後ろにイメージ名が括弧の間に表示され、続いて "Version" と Cisco IOS ソフトウエア リリース名が表示されます。 他のシスコ デバイスでは、show version コマンドが存在しなかったり、別の出力が表示されたりします。

次の例は、Cisco IOS ソフトウェア リリースが 15.2(4)M5、インストールされたイメージ名が C3900-UNIVERSALK9-M であるシスコ製品を示しています。

Router> show version 
Cisco IOS Software, C3900 Software (C3900-UNIVERSALK9-M), 15.2(4)M5, RELEASE SOFTWARE (fc2)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2013 by Cisco Systems, Inc.
Compiled Fri 13-Sep-13 16:44 by prod_rel_team

!--- output truncated 

Cisco IOS ソフトウェア リリースの命名規則については、以下を参照してください。ホワイト ペーパー： Cisco IOS および NX-OS ソフトウェア リファレンス ガイド

ネットワークアドレス交換 機能が Cisco IOSソフトウェアを実行する Ciscoデバイスで設定されない場合デバイスは脆弱ではないです。 ネットワークアドレス交換 機能が Cisco IOSソフトウェアを実行する Ciscoデバイスで設定されるが SIP のマルチパート SDP のための NAT ALG が有効に ならない場合、デバイスは脆弱ではないです。

以下の製品はずっと確認された脆弱です:

• Cisco IOS XR ソフトウェア
• Cisco IOS XE ソフトウェア
• Cisco NX-OS ソフトウェア
• Cisco ASA ソフトウェア

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。