複数のシスコ製品におけるIKEv1情報漏洩の脆弱性

シスコでは、次の製品がIKEバージョン1(IKEv1)を使用するように設定されている場合に脆弱性が存在すると判断しています。

• 影響を受けるCisco IOSソフトウェアリリースを実行しているすべてのシスコ製品
• 影響を受けるCisco IOS XEソフトウェアリリースを実行しているすべてのシスコ製品
• 影響を受けるCisco IOS XRソフトウェアリリースを実行しているすべてのシスコ製品
• Cisco PIX ファイアウォール

他のシスコ製品がこの脆弱性の影響を受ける可能性があるかどうかを判断するため、現在調査中です。このセクションは、追加の製品に脆弱性が見つかった場合に更新されます。

注：シスコはこの問題を調査し、PIXバージョン6.x以前がこの脆弱性の影響を受けると結論付けています。

PIXバージョン7.0以降はこの脆弱性の影響を受けないことが確認されています。Cisco PIXは2009年以降サポートされておらず、サポートされていません。

Cisco IOSソフトウェアまたはCisco IOS XEソフトウェアでIKEv2を設定すると、IKEv1が自動的に有効になります。
IKEv1は、次のようなさまざまなVPNを含む多くの機能で使用されます。

• LAN 間 VPN
• リモート アクセス VPN（SSL VPN を除く）
• Dynamic Multipoint VPN（DMVPN）
• Group Domain of Interpretation（GDOI；グループドメイン通訳）

注：Cisco IOS XRプラットフォームは、DMVPNまたはGDOIベースのVPNをサポートしていません。

デバイスでIKEが設定されているかどうかを確認するには、次の2つの方法があります。

• 実行中のデバイスでIKEポートが開いているかどうかを確認する
• デバイスの設定にIKE機能が含まれているか確認する

実行中のデバイスでIKEポートが開いているかどうかの確認

デバイスでIKEが設定されているかどうかを確認するには、show ip socketsまたはshow udp EXECコマンドを使用します。デバイスでUDPポート500、UDPポート4500、UDPポート848、またはUDPポート4848が開いている場合、IKEパケットが処理されています。

次の例では、デバイスはIPv4またはIPv6のいずれかを使用して、UDPポート500およびUDPポート4500でIKEパケットを処理しています。

router# show udp
Proto        Remote      Port      Local       Port  In Out  Stat TTY OutputIF
 17       --listen--          192.168.130.21    500   0   0 1001011   0 
 17(v6)   --listen--          UNKNOWN           500   0   0 1020011   0 
 17       --listen--          192.168.130.21   4500   0   0 1001011   0 
 17(v6)   --listen--          UNKNOWN          4500   0   0 1020011   0 
!--- Output truncated
router#

デバイスの設定にIKE機能が含まれているか確認する

Cisco IOSデバイスの設定が脆弱かどうかを判断するには、管理者はIKEを使用する機能が1つ以上設定されているかどうかを確認する必要があります。これは、show run | include crypto map|tunnel protection ipsec|crypto gdoi enable modeコマンドを使用します。このコマンドの出力にcrypto map、tunnel protection ipsec、またはcrypto gdoiのいずれかが含まれている場合、デバイスにはIKE設定が含まれています。次の例は、IKEが設定されているデバイスを示しています。

router# show run | include crypto map|tunnel protection ipsec|crypto gdoi
crypto map CM 100 ipsec-isakmp 
 crypto map CM
router#

注：この脆弱性の影響を受けるのは、IKEv1 SAネゴシエーション要求を受け入れるシスコ製品のみです。デバイスがIKEのメインモード、アグレッシブモード、またはクイックモードのセキュリティアソシエーション(SA)の確立を開始するか、IKEおよびIPSec SAのキー再生成を開始する場合、この脆弱性によって不正利用されることはありません。 IKEv1 SAネゴシエーションを開始するシスコデバイスは、この脆弱性の影響を受けません。

注： Cisco Easy VPN(EzVPN)クライアント設定は引き続きIKE要求をリッスンするため、このような要求を処理することで不正利用される可能性があります。

Cisco IOS ソフトウェア リリースの判別

デバイス上で実行されている Cisco IOS ソフトウェア リリースは、管理者がデバイスにログインして、コマンドライン インターフェイス（CLI）で show version コマンドを使用し、表示されるシステム バナーを参照することにより確認できます。デバイスが Cisco IOS ソフトウェアを実行している場合、システム バナーに「Cisco Internetwork Operating System Software」や「Cisco IOS Software」などのテキストが表示されます。バナーにはインストールされたイメージ名もカッコ内に表示され、その後ろに、Cisco IOS ソフトウェアのリリース番号とリリース名が表示されます。一部のシスコ デバイスでは、show version コマンドをサポートしていなかったり、別の出力が表示されたりします。

次の例は、Cisco IOS ソフトウェア リリースが 15.5(2)T1 で、インストールされたイメージ名が C2951-UNIVERSALK9-M であるシスコ製品を示しています。

Router> show version 
Cisco IOS Software, C2951 Software (C2951-UNIVERSALK9-M), Version 15.5(2)T1, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2015 by Cisco Systems, Inc.
Compiled Mon 22-Jun-15 09:32 by prod_rel_team
.
.
.

Cisco IOS ソフトウェアリリースの命名と番号付けの規則に関する詳細は、『White Paper: Cisco IOS and NX-OS Software Reference Guide』を参照してください。

Cisco IOS XE ソフトウェア リリースの判別

デバイス上で実行されている Cisco IOS XE ソフトウェア リリースは、管理者がデバイスにログインして、CLI で show version コマンドを使用することにより確認できます。デバイスが Cisco IOS XE ソフトウェアを実行している場合、システム バナーに「Cisco IOS XE Software 」などのテキストが表示されます。 

次に、Cisco IOS XE ソフトウェア リリース 3.6.2S（Cisco IOS ソフトウェア リリース 15.2(2)S2 にマッピング）が実行されているデバイスでの show version コマンドの出力例を示します。 

Router# show version 
Cisco IOS Software, IOS-XE Software (PPC_LINUX_IOSD-ADVENTERPRISEK9-M), Version 15.2(2)S2, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2012 by Cisco Systems, Inc.
Compiled Tue 07-Aug-12 13:40 by mcpre

Cisco IOS XR ソフトウェア リリースの判別

デバイス上で実行されている Cisco IOS XR ソフトウェア リリースとそれを実行しているデバイスの名前は、管理者がデバイスにログインして、CLI で show version コマンドを使用することにより確認できます。デバイスが Cisco IOS XR ソフトウェアを実行している場合、システム バナーに「Cisco IOS XR Software 」などのテキストが表示されます。デバイスで現在実行しているシステム イメージ ファイルの場所と名前は、「System image file is」の横に表示されます。ハードウェア製品の名前はシステム イメージ ファイル名の次の行に表示されます。

次に、Cisco IOS XR ソフトウェア リリース 4.1.0 が実行されていて、インストールされているイメージ名が mbihfr-rp.vm であるデバイスでの show version コマンドの出力例を示します。

RP/0/RP0/CPU0:router# show version
 Mon May 31 02:14:12.722 DST

 Cisco IOS XR Software, Version 4.1.0
 Copyright (c) 2010 by Cisco Systems, Inc.

 ROM: System Bootstrap, Version 2.100(20100129:213223) [CRS-1 ROMMON],  

 router uptime is 1 week, 6 days, 4 hours, 22 minutes
 System image file is "bootflash:disk0/hfr-os-mbi-4.1.0/mbihfr-rp.vm"

 cisco CRS-8/S (7457) processor with 4194304K bytes of memory.
 7457 processor at 1197Mhz, Revision 1.2

Cisco ASA 5500およびCisco ASA 5500-Xシリーズ適応型セキュリティアプライアンスはこの脆弱性の影響を受けません。

他のシスコ製品がこの脆弱性の影響を受ける可能性があるかどうかを判断するため、現在調査中です。このセクションは、詳細が判明した時点で更新されます。

このアドバイザリが公開された時点で、他にこの脆弱性の影響を受ける製品は現在確認されていません。