High
High
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
この脆弱性は、IKEv1セキュリティネゴシエーション要求を処理するコードの部分の不十分な条件チェックに起因します。攻撃者は、IKEv1セキュリティネゴシエーション要求を受け入れるように設定された該当デバイスに、巧妙に細工されたIKEv1パケットを送信することにより、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、メモリの内容を搾取できるようになり、機密情報の漏洩につながる可能性があります。
シスコでは、この脆弱性に対処するソフトウェア アップデートをリリースする予定です。この脆弱性に対処する回避策はありません。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160916-ikev1
該当製品
Cisco IOS XR ソフトウェア
Cisco IOS XRソフトウェアの次のリリースを実行しているすべての製品が、この脆弱性の影響を受けます。
- Cisco IOS XR 4.3.x
- Cisco IOS XR 5.0.x
- Cisco IOS XR 5.1.x
- Cisco IOS XR 5.2.x
Cisco IOS XRソフトウェアリリース5.3.x以降は、この脆弱性の影響を受けません。
Cisco IOS および IOS XE ソフトウェア
お客様が Cisco IOS ソフトウェアおよび IOS XE ソフトウェアの脆弱性による侵害の可能性を判断するため、シスコは Cisco IOS Software Checker ツールを提供しています。このツールを使用すると、特定のソフトウェア リリースに該当するシスコ セキュリティ アドバイザリ、および各アドバイザリで説明されている脆弱性が修正された最初のリリース（「First Fixed」）を特定できます。 また該当する場合、そのリリースに関するすべてのアドバイザリの脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。
このツールを使用して次のタスクを実行できます。
- ドロップダウン メニューからリリース（複数可）を選択するか、分析対象となるローカル システムからファイルをアップロードして、検索を開始する
- show version コマンドの出力をツールで解析する
- カスタマイズした検索（過去に公開されたすべてのシスコ セキュリティ アドバイザリを検索対象に入れたり、特定のアドバイザリのみ、または最新のバンドル資料のすべてのアドバイザリを含めるなど）を作成する
公開されたシスコ セキュリティ アドバイザリのいずれかに該当するリリースであるかどうかを確認するには、Cisco.com の Cisco IOS ソフトウェアチェッカーを使用するか、以下のフィールドに Cisco IOS ソフトウェアまたは Cisco IOS XE ソフトウェアのリリース番号（たとえば、15.1(4)M2、3.1.4S など）を入力します。
注：お客様がCisco IOSおよびIOS XEソフトウェアの脆弱性による侵害を受ける可能性を判断できるように、シスコは影響を受けるCisco IOSおよびCisco IOS XEソフトウェアのリリースの調査結果を更新し、その結果をCisco IOS Software Checkerで確認できるようにします。このツールは、特定のソフトウェアリリースに影響を与えるシスコセキュリティアドバイザリ、各脆弱性をを修正する最初のリリース（「最初の修正」）をしたものです。
シスコでは現在、この脆弱性の影響を受ける製品とそれらの製品への各影響を特定するために、製品ラインを調査中です。調査の進捗に応じて、シスコは該当する各製品の Cisco Bug ID など、本アドバイザリ内の情報を更新します。Cisco Bug Search Tool を使用するとバグを検索でき、利用可能な回避策や修正されたソフトウェア リリースなど、プラットフォーム固有の追加情報を入手できます。
脆弱性のある製品
シスコは、次の製品がIKEバージョン1(IKEv1)を使用するように設定されている場合に脆弱性が存在すると判断しました。
- 影響を受けるCisco IOSソフトウェアリリースを実行しているすべてのシスコ製品
- 影響を受けるCisco IOS XEソフトウェアリリースを実行するすべてのシスコ製品
- 影響を受けるCisco IOS XRソフトウェアリリースを実行しているすべてのシスコ製品
- Cisco PIX ファイアウォール
他のシスコ製品がこの脆弱性の影響を受ける可能性があるかどうかを判断するため、現在調査中です。このセクションは、追加の製品に脆弱性が見つかった場合に更新されます。
注：シスコはこの問題を調査し、PIXバージョン6.x以前がこの脆弱性の影響を受けると結論付けました。
PIXバージョン7.0以降は、この脆弱性の影響を受けないことが確認されています。Cisco PIXは2009年からサポートされておらず、サポートされていません。
Cisco IOSソフトウェアまたはCisco IOS XEソフトウェアでIKEv2を設定すると、自動的にIKEv1が有効になります。
Cisco IOSソフトウェアおよびCisco IOS XEソフトウェアでは、IKEv1またはIKEバージョン2(IKEv2)が設定されるとIKEv1が自動的に有効になりますが、この脆弱性は巧妙に細工されたIKEv1パケットを送信することによってのみトリガーされます。
IKEv1は、次のようなさまざまなVPNを含む多くの機能で使用されます。
- LAN 間 VPN
- リモート アクセス VPN（SSL VPN を除く）
- Dynamic Multipoint VPN（DMVPN）
- Group Domain of Interpretation（GDOI；グループドメイン通訳）
注：Cisco IOS XRプラットフォームは、DMVPNまたはGDOIベースのVPNをサポートしていません。
デバイスにIKEが設定されているかどうかを確認するには、次の2つの方法があります。
- 実行中のデバイスでIKEポートが開いているか確認する
- デバイスの設定にIKE機能が含まれているか確認する
実行中のデバイスでIKEポートが開いているかどうかの確認
デバイスにIKEが設定されているかどうかを確認するには、show ip socketsまたはshow udp EXECコマンドを使用します。デバイスでUDPポート500、UDPポート4500、UDPポート848、またはUDPポート4848が開いている場合、IKEパケットが処理されています。
次の例では、デバイスはIPv4またはIPv6のいずれかを使用して、UDPポート500およびUDPポート4500でIKEパケットを処理しています。
router# show udp Proto Remote Port Local Port In Out Stat TTY OutputIF 17 --listen-- 192.168.130.21 500 0 0 1001011 0 17(v6) --listen-- UNKNOWN 500 0 0 1020011 0 17 --listen-- 192.168.130.21 4500 0 0 1001011 0 17(v6) --listen-- UNKNOWN 4500 0 0 1020011 0 !--- Output truncated router#
デバイスの設定にIKE機能が含まれているか確認する
Cisco IOSデバイスの設定が脆弱かどうかを判断するには、管理者はIKEを使用する機能が1つ以上設定されているかどうかを確認する必要があります。これは、show run | include crypto map|tunnel protection ipsec|crypto gdoi enable modeコマンドを使用して実行できます。このコマンドの出力にcrypto map、tunnel protection ipsec、またはcrypto gdoiのいずれかが含まれている場合は、デバイスにIKE設定が含まれています。次の例は、IKEが設定されているデバイスを示しています。
router# show run | include crypto map|tunnel protection ipsec|crypto gdoi crypto map CM 100 ipsec-isakmp crypto map CM router#
注：この脆弱性の影響を受けるのは、IKEv1 SAネゴシエーション要求を受け入れるシスコ製品だけです。デバイスがIKEのメイン、アグレッシブ、またはクイックモードのセキュリティアソシエーション(SA)の確立を開始する場合、またはIKEおよびIPSec SAのキー再生成を開始する場合、この脆弱性によって不正利用されることはありません。 IKEv1 SAネゴシエーションを開始するだけのシスコデバイスは、この脆弱性の影響を受けません。
注： Cisco Easy VPN(EzVPN)クライアント設定は、引き続きIKE要求をリッスンするため、このような要求を処理することで不正利用される可能性があります。
Cisco IOS ソフトウェア リリースの判別
デバイス上で実行されている Cisco IOS ソフトウェア リリースは、管理者がデバイスにログインして、コマンドライン インターフェイス（CLI）で show version コマンドを使用し、表示されるシステム バナーを参照することにより確認できます。デバイスが Cisco IOS ソフトウェアを実行している場合、システム バナーに「Cisco Internetwork Operating System Software」や「Cisco IOS Software」などのテキストが表示されます。バナーにはインストールされたイメージ名もカッコ内に表示され、その後ろに、Cisco IOS ソフトウェアのリリース番号とリリース名が表示されます。一部のシスコ デバイスでは、show version コマンドをサポートしていなかったり、別の出力が表示されたりします。
次の例は、Cisco IOS ソフトウェア リリースが 15.5(2)T1 で、インストールされたイメージ名が C2951-UNIVERSALK9-M であるシスコ製品を示しています。
Router> show version
Cisco IOS Software, C2951 Software (C2951-UNIVERSALK9-M), Version 15.5(2)T1, RELEASE SOFTWARE (fc1) Technical Support: http://www.cisco.com/techsupport Copyright (c) 1986-2015 by Cisco Systems, Inc. Compiled Mon 22-Jun-15 09:32 by prod_rel_team . . .
Cisco IOS ソフトウェアリリースの命名と番号付けの規則に関する詳細は、『White Paper: Cisco IOS and NX-OS Software Reference Guide』を参照してください。
Cisco IOS XE ソフトウェア リリースの判別
デバイス上で実行されている Cisco IOS XE ソフトウェア リリースは、管理者がデバイスにログインして、CLI で show version コマンドを使用することにより確認できます。デバイスが Cisco IOS XE ソフトウェアを実行している場合、システム バナーに「Cisco IOS XE Software 」などのテキストが表示されます。
次に、Cisco IOS XE ソフトウェア リリース 3.6.2S（Cisco IOS ソフトウェア リリース 15.2(2)S2 にマッピング）が実行されているデバイスでの show version コマンドの出力例を示します。
Router# show version
Cisco IOS Software, IOS-XE Software (PPC_LINUX_IOSD-ADVENTERPRISEK9-M), Version 15.2(2)S2, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2012 by Cisco Systems, Inc.
Compiled Tue 07-Aug-12 13:40 by mcpre
Cisco IOS XR ソフトウェア リリースの判別
デバイス上で実行されている Cisco IOS XR ソフトウェア リリースとそれを実行しているデバイスの名前は、管理者がデバイスにログインして、CLI で show version コマンドを使用することにより確認できます。デバイスが Cisco IOS XR ソフトウェアを実行している場合、システム バナーに「Cisco IOS XR Software 」などのテキストが表示されます。デバイスで現在実行しているシステム イメージ ファイルの場所と名前は、「System image file is」の横に表示されます。ハードウェア製品の名前はシステム イメージ ファイル名の次の行に表示されます。
次に、Cisco IOS XR ソフトウェア リリース 5.3.4 が実行されているデバイスでの show version コマンドの出力例を示します。
RP/0/RSP0/CPU0:ASR9001#show version Wed Jan 24 01:32:32.751 EST Cisco IOS XR Software, Version 5.3.4[Default] Copyright (c) 2017 by Cisco Systems, Inc. ROM: System Bootstrap, Version 2.04(20140227:092320) [ASR9K ROMMON], ASR9001 uptime is 6 hours, 17 minutes System image file is "bootflash:disk0/asr9k-os-mbi-5.3.4.sp4-1.0.0/0x100000/mbiasr9k-rp.vm" cisco ASR9K Series (P4040) processor with 8388608K bytes of memory. P4040 processor at 1500MHz, Revision 2.0 ASR-9001 Chassis 2 Management Ethernet 8 TenGigE 20 GigabitEthernet 8 DWDM controller(s) 8 WANPHY controller(s) 44 GigabitEthernet/IEEE 802.3 interface(s) 219k bytes of non-volatile configuration memory. 2880M bytes of hard disk. 3932144k bytes of disk0: (Sector size 512 bytes). Configuration register on node 0/RSP0/CPU0 is 0x2102
脆弱性を含んでいないことが確認された製品
Cisco ASA 5500およびCisco ASA 5500-Xシリーズ適応型セキュリティアプライアンスはこの脆弱性の影響を受けません。
他のシスコ製品がこの脆弱性の影響を受ける可能性があるかどうかを判断するため、現在調査中です。このセクションは、詳細が学習された時点で更新されます。
このアドバイザリが公開された時点で、この脆弱性の影響を受ける製品は現在確認されていません。
詳細
IKEプロトコルは、インターネットプロトコルセキュリティ(IPsec)プロトコルスイートで、通信セッションの暗号化または認証に使用される暗号化属性のネゴシエートに使用されます。これらの属性には暗号化のアルゴリズム、モード、共有キーが含まれます。IKEの最終的な結果は、暗号キーを導出するために使用される共有セッションシークレットです。
Cisco IOS、Cisco IOS XE、およびCisco IOS XRソフトウェアは、IPv4およびIPv6通信用のIKEをサポートしています。IKE通信は、次のUDPポートのいずれかを使用できます。
- UDP ポート 500
- UDPポート4500、NATトラバーサル(NAT-T)
- UDP ポート 848、Group Domain of Interpretation（GDOI）
- UDP ポート 4848、GDOI NAT-T
Cisco IOS、Cisco IOS XE、およびCisco IOS XRのIKEv1パケット処理コードの脆弱性により、認証されていないリモートの攻撃者がメモリの内容を取得することが可能になり、その結果、機密情報が開示される可能性があります。
本脆弱性をエクスプロイトは、リストに掲載された UDP ポートのいずれかにおいて、IPv4 と IPv6 のどちらかを使用して起きる可能性があります。この脆弱性の不正利用が可能なのは、IKEv1用に設定されたデバイスによって処理されるIKEv1トラフィックのみです。通過するIKEv1トラフィックはこの脆弱性を引き起こしません。IKEv2は影響を受けません。
攻撃者は脆弱性のあるデバイスから最初の応答を受信するか、この応答へのアクセス権を持つ必要があるため、この脆弱性を不正利用する可能性のあるパケットのスプーフィングは制限されます。
回避策
この脆弱性に対する回避策はありません。
この脆弱性を悪用しようとする攻撃を検出して防止するために、侵入防御システム(IPS)または侵入検知システム(IDS)を実装することをお勧めします。
影響を受けるシステムをモニタすることをお勧めします。
修正済みソフトウェア
Cisco IOS および IOS XE ソフトウェア
お客様が Cisco IOS ソフトウェアおよび IOS XE ソフトウェアの脆弱性による侵害の可能性を判断するため、シスコは Cisco IOS Software Checker ツールを提供しています。このツールを使用すると、特定のソフトウェア リリースに該当するシスコ セキュリティ アドバイザリ、および各アドバイザリで説明されている脆弱性が修正された最初のリリース（「First Fixed」）を特定できます。 また該当する場合、そのリリースに関するすべてのアドバイザリの脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。
このツールを使用して次のタスクを実行できます。
- ドロップダウン メニューからリリース（複数可）を選択するか、分析対象となるローカル システムからファイルをアップロードして、検索を開始する
- show version コマンドの出力をツールで解析する
- カスタマイズした検索（過去に公開されたすべてのシスコ セキュリティ アドバイザリを検索対象に入れたり、特定のアドバイザリのみ、または最新のバンドル資料のすべてのアドバイザリを含めるなど）を作成する
公開されたシスコ セキュリティ アドバイザリのいずれかに該当するリリースであるかどうかを確認するには、Cisco.com の Cisco IOS ソフトウェアチェッカーを使用するか、以下のフィールドに Cisco IOS ソフトウェアまたは Cisco IOS XE ソフトウェアのリリース番号（たとえば、15.1(4)M2、3.1.4S など）を入力します。
お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットに対してのみとなります。このようなソフトウェアアップグレードをインストール、ダウンロード、アクセス、またはその他の方法で使用する場合、お客様はシスコのソフトウェアライセンス(http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html)の条項に従うことに同意したことになります。
また、お客様がソフトウェアをダウンロードできるのは、シスコから直接、またはシスコ認定の再販業者もしくはパートナーを通じて購入した有効なライセンスをお持ちの場合に限られます。通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。
ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成は新規リリースでも継続して適切なサポートが受けられることを確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。
サービス契約をご利用でないお客様
シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティベンダーを通じて購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center(TAC)に連絡してアップグレードを入手してください。http://www.cisco.com/en/US/support/tsd_cisco_worldwide_contacts.html。
無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。
不正利用事例と公式発表
2016年8月15日、シスコはShadow Brokersグループによってオンラインに投稿された情報について警告を受けました。この情報は、Equation Groupからの開示を所持していると主張しています。公開された資料には、複数のベンダーのファイアウォール製品の不正利用が含まれています。この記事には、レガシーCisco PIXファイアウォールの悪用に使用される可能性のあるBENIGNSUREの悪用に関する情報が含まれています。
Shadow Brokersの情報開示に基づき、シスコはBENIGNSUREと同様の脆弱性の影響を受ける可能性のある他の製品の調査を開始しました。
Cisco Product Security Incident Response Team(PSIRT)では、該当プラットフォームを実行している一部のシスコのお客様に対して、この脆弱性が悪用されていることを認識しています。
出典
この脆弱性の不正利用は、Cisco PIXのShadow Brokersグループによって公開されました。
Shadow Brokersの情報開示に基づき、シスコはBENIGNSUREと同様の脆弱性の影響を受ける可能性のある他の製品の調査を開始しました。
Cisco IOS、Cisco IOS XE、およびCisco IOS XRの脆弱性は、シスコ内部のセキュリティテストチームによって発見されました。
URL
改訂履歴
| バージョン | 説明 | セクション | ステータス | 日付 |
|---|---|---|---|---|
| 1.3 | 「該当製品」と「脆弱性のある製品」のセクションを更新。 | 該当製品および脆弱性のある製品 | Final | 2016年10月5日 |
| 1.2 | 「該当製品」セクションを更新。 | 該当製品 | Interim | 2016年9月20日 |
| 1.1 | 「該当製品」セクションを更新。 | 該当製品 | Interim | 2016年9月19日 |
| 1.0 | 初回公開リリース | — | Interim | 2016年9月16日 |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。