High

アドバイザリーID : cisco-sa-20180328-snmp-dos

初公開日 : 2018-03-28 16:00

バージョン 1.0 : Final

CVSSスコア : 7.7

回避策 : Yes

Cisco バグ ID : CSCve75818

CVE-2018-0160

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco IOS XE ソフトウェアのシンプル ネットワーク マネジメント プロトコル（SNMP）サブシステムの脆弱性により、認証されたリモート攻撃者がサービス妨害（DoS）状態を引き起こす可能性があります。

この脆弱性は、二重解放と呼ばれるメモリ リソースの不適切な管理に起因します。 攻撃者は、巧妙に細工された SNMP パケットを該当デバイスに送信することによって、本脆弱性を不正利用する可能性があります。 不正利用に成功すると、攻撃者は該当デバイスのリロードを引き起こし、その結果 DoS 状態が発生する可能性があります。

SNMP バージョン 2c 以前で本脆弱性を不正利用するには、攻撃者が SNMP 読み取り専用コミュニティ ストリングを把握している必要があります。 SNMP バージョン 3 で不正利用するには、影響を受けるシステムのユーザ クレデンシャルを攻撃者が把握している必要があります。

この脆弱性に対処するソフトウェア アップデートは、すでにシスコからリリースされています。 本脆弱性に対処する回避策がいくつかあります。

このアドバイザリは、次のリンクより確認できます。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-snmp-dos

このアドバイザリは、2018 年 3 月 28 日 発行の Cisco IOS および IOS XE ソフトウェア Security Advisory Bundled Publication の一部であり、22 の脆弱性を説明する 20 のシスコ セキュリティ アドバイザリが含まれています これらのアドバイザリとリンクの一覧については、以下を参照してください。Cisco Event Response: March 2018 Semiannual Cisco IOS and IOS XE Software Security Advisory Bundled Publication。

該当製品

脆弱性のある製品

本脆弱性は、脆弱性が存在する Cisco IOS XE ソフトウェア リリースを実行し、SNMP クエリを行うように設定され、ネットワーク アドレス変換（NAT）が有効になっているシスコ デバイスに影響を与えます。

脆弱性が存在する Cisco IOS XE ソフトウェア リリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。

SNMP 設定の検証

デバイスで SNMP を使用するよう設定されているかどうかを確認するには、管理者がデバイスの CLI で show run | | include snmp コマンドを使用します。 以下に、デバイスで読み取り専用と読み取り/書き込みコミュニティ ストリングの両方が設定されている場合の show run | | include snmp コマンドの出力例を示します。

Router# show run | include snmp

snmp-server community public RO

snmp-server community write RW

Cisco IOS XE ソフトウェア リリースの判別

デバイス上で実行されている Cisco IOS XE ソフトウェア リリースは、管理者がデバイスにログインして、CLI で show version コマンドを実行し、表示されるシステム バナーを参照することにより確認できます。 デバイスが Cisco IOS XE ソフトウェアを実行している場合、システム バナーに「Cisco IOS Software」、「Cisco IOS XE Software」などのテキストが表示されます。

次に、Cisco IOS XR ソフトウェア リリース 16.2.1 が実行されていて、インストールされているイメージ名が CAT3K_CAA-UNIVERSALK9-M であるデバイスでのコマンドの出力例を示します。

ios-xe-device# show version

Cisco IOS Software, Catalyst L3 Switch Software (CAT3K_CAA-UNIVERSALK9-M), Version Denali 16.2.1, RELEASE SOFTWARE (fc1)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2016 by Cisco Systems, Inc.

Compiled Sun 27-Mar-16 21:47 by mcpre

.

.

.

Cisco IOS XE ソフトウェア リリースの命名と番号付けの規則に関する詳細は、『Cisco IOS and NX-OS Software Reference Guide』を参照してください。

脆弱性を含んでいないことが確認された製品

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

シスコは、この脆弱性が Cisco IOS ソフトウェア、Cisco IOS XR ソフトウェア、および Cisco NX-OS ソフトウェアには影響を与えないことを確認しました。

詳細

攻撃者は、IP バージョン 4 または IP バージョン 6 経由で該当デバイスに巧妙に細工された SNMP パケットを送信することにより、この脆弱性を不正利用する可能性があります。 本脆弱性を不正利用する目的で使用できるのは、該当システム宛てのトラフィックに限られます。

SNMP バージョン 2c 以前で本脆弱性を不正利用するには、攻撃者が SNMP 読み取り専用コミュニティ ストリングを把握している必要があります。 コミュニティ ストリングとは、デバイスの SNMP データへの読み取り専用アクセスおよび読み取り/書き込みアクセスの両方を制限するパスワードです。 コミュニティ ストリングには一般的なキーワードを使用せず、他のパスワードと同様に慎重に選択してください。 また、定期的にネットワーク セキュリティのポリシーに合わせて変更する必要もあります。 たとえば、ネットワーク管理者がロールを変更する場合や退職する際はコミュニティ ストリングを変更する必要があります。

SNMP バージョン 3 で不正利用するには、影響を受けるシステムのユーザ クレデンシャルを攻撃者が把握している必要があります。

セキュリティ侵害の痕跡

この脆弱性の不正利用に成功すると、該当するデバイスがリロードされ、crashinfo ファイルが生成されます。

この脆弱性が不正利用されているかどうかを確認するには、デバイスのスタック トレースをデコードして、スタック トレースと本脆弱性との関連性を確認します。

SNMP プロセスがクラッシュすると、デバイス ログまたは crashinfo ファイルに以下の例のようなエラー メッセージが表示されます。

Exception to IOS Thread:

Frame pointer 0x7F48DA5F5300, PC = 0x7F4B736A40EB

UNIX-EXT-SIGNAL: Segmentation fault(11), Process = SNMP ENGINE

crashinfo ファイルを確認し、デバイスにこの脆弱性の不正利用が発生していないかを判別するには、Cisco Technical Assistance Center（TAC）までご連絡ください。

回避策

影響を受ける管理情報ベース（MIB）（この場合は NAT-MIB）を無効にすることにより、この脆弱性に対処できます。 view エントリを作成または更新して NAT-MIB を無効にするには、管理者がデバイスにログインして、下記に示すように CLI で snmp-server view グローバル コンフィギュレーション コマンドを使用します。

!Standard VIEW and Security Exclusions

snmp-server view NO_BAD_SNMP iso included

snmp-server view NO_BAD_SNMP internet included

snmp-server view NO_BAD_SNMP snmpUsmMIB excluded

snmp-server view NO_BAD_SNMP snmpVacmMIB excluded

snmp-server view NO_BAD_SNMP snmpCommunityMIB excluded

snmp-server view NO_BAD_SNMP ciscoMgmt.252 excluded

!End Standard View

!Advisory Specific Mappings

snmp-server view NO_BAD_SNMP mib-2.123 excluded

コミュニティ ストリングにこのコンフィギュレーションを適用するには、次のコマンドを使用します。

snmp-server community mycomm view NO_BAD_SNMP RO

SNMP バージョン 3 の場合は次のコマンドを使用できます。

snmp-server group v3group auth read NO_BAD_SNMP write NO_BAD_SNMP

SNMP アクセス コントロール リスト

注: この脆弱性が存在する機能においては、伝送手段として UDP が使用されており、送信者の IP アドレスをスプーフィングすることが可能です。そうすることで、信頼できる IP アドレスから各ポートへの通信がアクセス コントロール リスト（ACL）で許可されていても、それを無効にすることができます。 より効果のある緩和対策としては、ユニキャスト リバース パス フォワーディング（RPF）と ACL の組み合わせが、検討対象に挙げられます。 以下の ACL の例では、192.0.2.1 のホストのみが SNMP 要求によるデバイスへのクエリを送信できるようになっています。

access-list 1 permit 192.0.2.1

snmp-server community example RO 1

修正済みソフトウェア

シスコはこのアドバイザリに記載された脆弱性に対処する無償のソフトウェア アップデートを提供しています。 お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットに対してのみとなります。 そのようなソフトウェア アップグレードをインストール、ダウンロードする、または、アクセスしたり、その他の方法で使用する場合、お客様は以下のリンクに記載されたシスコのソフトウェア ライセンスの条項に従うことに同意したことになります。

https://www.cisco.com/c/en/us/products/end-user-license-agreement.html

また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシスコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。 通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。 無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

ソフトウェアのアップグレードを検討する際には、Cisco Security Advisories and Alerts ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。 不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

サービス契約をご利用でないお客様

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティ ベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco TAC に連絡してアップグレードを入手してください。

https://www.cisco.com/c/en/us/support/web/tsd-cisco-worldwide-contacts.html

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

Cisco IOS および IOS XE ソフトウェア

Cisco IOS ソフトウェアおよび IOS XE ソフトウェアの脆弱性による侵害の可能性を判断できるよう、シスコでは Cisco IOS Software Checker ツールを提供しています。このツールにより、特定のソフトウェア リリースに該当するシスコ セキュリティ アドバイザリ、および各アドバイザリで説明されている脆弱性が修正された最初のリリース（「First Fixed」）を特定できます。 また該当する場合、すべてのアドバイザリに記載されたすべての脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。

このツールを使用して次のタスクを実行できます。

- ドロップダウン リストからリリース（複数可）を選択するか、分析対象となるローカル システムからファイルをアップロードして、検索を開始する

- show version コマンドの出力をツールで解析する

- カスタマイズした検索（過去に公開されたすべてのシスコ セキュリティ アドバイザリを検索対象に含めたり、特定のアドバイザリのみ、または最新のバンドル資料から全アドバイザリを含めるなど）を作成する

リリースが、公開されたシスコ セキュリティ アドバイザリのいずれかに該当するかどうかを確認するには、Cisco.com の Cisco IOS Software Checker を使用するか、以下のフィールドに Cisco IOS ソフトウェアまたは Cisco IOS XE ソフトウェア リリース（たとえば、15.1(4)M2、3.13.8S など）を入力します。

Cisco IOS XE ソフトウェア リリースと Cisco IOS ソフトウェア リリースのマッピングについては、Cisco IOS XE ソフトウェアのリリースに応じて「Cisco IOS XE 2 Release Notes」、「Cisco IOS XE 3S Release Notes」、または「Cisco IOS XE 3SG Release Notes」を参照してください。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例やその公表を確認していません。

出典

この脆弱性はサポート ケースの解決中に発見されました。

URL

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-snmp-dos

改訂履歴

Version

Description

Section

Status

日付

1.0

初回公開リリース

—

Final

2018 年 3 月 28 日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。