Informational

アドバイザリーID : cisco-sa-20180409-smi

初公開日 : 2018-04-09 00:00

最終更新日 : 2018-04-11 18:10

バージョン 1.2 : Final

回避策 : No workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

ここ数週間、シスコは Smart Install 機能に関連するいくつかの文書を発表しています。 それらは、有効なままにしている場合の誤用の可能性に関する Talos ブログ 1 件、Cisco IOS および IOS XE ソフトウェア セキュリティ アドバイザリ バンドルの 2018 年 3 月リリース分に含まれているシスコ セキュリティ アドバイザリ 2 件です。 認知の高まりを考慮して、シスコは、不正利用の試みについて混乱を招く可能性を最小限に抑えること、およびお客様のデバイスの機能検証を明確にすることを意図しています。 この目的のために、シスコは、Smart Install 関連の脆弱性の誤用または不正利用の可能性の緩和に関する全情報を、この単一のドキュメントに集約することにしました。また、公開された脆弱性の影響を受ける可能性のあるデバイスを適切に保護する方法や、その脆弱性の修正方法についてもこのドキュメントで説明します。

このアドバイザリは、次のリンクより確認できます。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180409-smi

詳細

Smart Install の脆弱性の履歴

次の表は、脆弱性のある Smart Install 機能（クライアントおよび/またはディレクタ）を特定しているアドバイザリの一覧です。これらのアドバイザリでは、各脆弱性の現在の不正利用範囲についても記載しています。

アドバイザリ名

CVE ID

Description

クライアント/ディレクタ

公開日

現在の不正利用状況

Cisco Smart Install プロトコルの誤用

N/A

Smart Install 機能が有効になっていて適切なセキュリティ制御が行われていないデバイスを探すための広範なスキャニング

クライアントのみ

2017 年 2 月 14 日

○

Cisco IOS および IOS XE ソフトウェアの Smart Install 機能においてリモートでコードが実行される脆弱性

CVE-2018-0171

リロード、Denial of Service（DoS）、リモートのコード実行

クライアントのみ

2018 年 3 月 28 日

なし

Cisco IOS および IOS XE ソフトウェアの Smart Install 機能における Denial of Service（DoS）の脆弱性

CVE-2018-0156

リロード、Denial of Service（DoS）

クライアントのみ

2018 年 3 月 28 日

なし

Cisco IOS および IOS XE ソフトウェアの Smart Install 機能におけるメモリ リークの脆弱性

CVE-2016-6385

メモリ リーク、最終的に Denial of Service（DoS）が引き起こされる

クライアントのみ

2016 年 9 月 28 日

なし

Cisco IOS および IOS XE ソフトウェアの Smart Install 機能における Denial of Service（DoS）の脆弱性

CVE-2016-1349

Denial of Service（DoS）

クライアントのみ

2016 年 3 月 23 日

なし

Cisco IOS ソフトウェアの Smart Install 機能における Denial of Service（DoS）の脆弱性

CVE-2013-1146

Denial of Service（DoS）

クライアントのみ

2013 年 3 月 27 日

なし

Cisco IOS ソフトウェアの Smart Install 機能における Denial of Service（DoS）の脆弱性

CVE-2012-0385

不正な SMI パケットによってリロードが発生

クライアントおよびディレクタ

2012 年 3 月 28 日

なし

Cisco IOS ソフトウェアの Smart Install 機能においてリモートでコードが実行される脆弱性

CVE-2011-3271

リモートのコード実行

クライアントおよびディレクタ

2011 年 9 月 28 日

なし

推奨されるアクションの概要

Smart Install に関連する問題からネットワークを保護するためにシスコが推奨するのは、Smart Install 機能を実際に使用していない場合は、セットアップ完了後に no vstack コマンドを使用してこの機能を無効にすることです。 この機能を使用している場合（および有効化しておく必要がある場合）は、ACL を使用して、TCP 4786への着信トラフィックをブロックします（適切なセキュリティ制御）。 さらに、標準的なネットワーク セキュリティ管理の一環として、既知のセキュリティ脆弱性に対するパッチを適用する必要があります。

識別および緩和手順

ネットワーク デバイスが Smart Install の脆弱性の影響を受ける可能性について懸念がある場合は、次のプロセスに従ってください。

1. 影響を受けるソフトウェアですか?- 使用しているソフトウェアのバージョンが、Smart Install のセキュリティ アドバイザリで説明されている脆弱性の影響を受けるバージョンかどうかを判断します。

2. 機能が有効化されていますか? - 該当のソフトウェア バージョンを実行しているデバイスの場合、Smart Install クライアント機能が存在しているかどうかを確認する必要があります。

3. 次のいずれかの手順によって、脆弱性の影響を受ける可能性を軽減します。

1. 機能を無効にする - Smart Install クライアント機能を実行していることが判明したデバイスについては、その機能を無効化します。または、これに該当しない場合は、

2. Smart Install へのアクセスを制限する - ACL とコントロール プレーン ポリシング（CoPP）を実装することによって、この機能の影響度を最小限に抑えます。

Smart Install 導入リスク

Cisco Smart Install は、新しいスイッチ（通常はアクセス レイヤ スイッチ）のゼロタッチ導入を提供するレガシー機能です。仕様として、認証機能は組み込んでいません。 新技術は、Ciscoネットワーク プラグ アンド プレイ機能のような、新しいスイッチのセキュア セットアップ用の強く推奨されています。 セットアップに従がってきちんと無効に されないか、または保護されて、スマートなインストールが脆弱性の存在なしでコンフィギュレーション ファイルの exfiltration および修正を、とりわけ、可能にすることができれば。

スマートなインストール ネットワークは 1 つのスマートなインストール ディレクター スイッチかルータで構成されています、別名統合されたブランチ ディレクター（IBD）は、および 1つ以上スマートなインストール クライアント、別名統合ブランチ クライアント（IBCs）切り替えます。

スマートなインストール機能はクライアントでデフォルトで切り替えます有効に なります。 特定の設定はスマートなインストール クライアントでスマートなインストール ディレクターが明示的に設定する必要がある一方、切り替えます必要とされません。

影響を受けた IOSバージョンおよび IOS XE の確認

Cisco IOS および IOS XE ソフトウェア

顧客が Cisco IOS および IOS XE ソフトウェアの脆弱性への公開を判別するのを助けるために Cisco はツールを、各アドバイザリに説明がある脆弱性を解決する以前のリリースおよび特定のソフトウェア リリースに影響を与える Cisco Security Advisory を識別する Cisco IOSソフトウェア チェッカー提供します、（「最初に」固定される）。 該当する場合、ツールはまた以前のリリースを戻します識別されるすべてのアドバイザリに説明があるすべての脆弱性を解決する（「結合される最初に」固定される）。

顧客は次のタスクを行うのにこのツールを使用できます:

- 1つ以上のリリースをドロップダウン リストから選択するか、または解析するためにツールのためのローカルシステムからファイルをアップロードすることによって検索を始めて下さい

- 解析するツールのための show version コマンドの出力を入力して下さい

- 最新組み込まれたパブリケーションにすべての以前に公開された Cisco Security Advisory、特定のアドバイザリ、またはすべてのアドバイザリを含めることによってカスタム検索を作成して下さい

リリースがあらゆる公開された Cisco Security Advisory から影響を受けするかどうか判別するために、Cisco.com の Cisco IOSソフトウェア チェッカーを使用するか、または—次のフィールドで… Cisco IOSソフトウェアまたは Cisco IOS XE ソフトウェア リリースを—たとえば、15.1(4)M2 か 3.13.8S 入力して下さい:

脆弱 な デバイスの識別

有効に なるスマートなインストール クライアントが付いているデバイスの確認

次の例は有効に なるスマートなインストール クライアント機能が付いている Cisco Catalyst スイッチで show vstack config コマンドの出力を示したものです。 これらはスマートなインストール クライアント機能は有効に なることを唯一の出力です示す:

Switch1#show vstack config | include Role

Role: Client (SmartInstall enabled)

switch2# show vstack config

Capability: Client

Oper Mode: Enabled

Role: Client

TCPポート 4786 で受信するデバイスの確認

次の例は show tcp 要約の出力をすべて示したものです | Cisco Catalyst スイッチに 4786 コマンドを含めて下さいスマートなインストール クライアント ポート（4786） TCP で受信している:

Switch#show tcp brief all | include 4786

FFB6D31818  0.0.0.0.4786               *.*                         LISTEN

Switch#

次の例は show tcp 要約の出力をすべて示したものです | Cisco Catalyst スイッチに 4786 コマンドを含めて下さいスマートなインストール クライアント ポートで受信している（4786） TCP はスマートなインストール ディレクター（IP アドレスに接続でき、: 10.69.12.117）:

FFA893EA50  10.66.91.126.4786          10.69.12.117.54246          CLOSEWAIT

FFB6D31818  0.0.0.0.4786               *.*                         LISTEN

Switch#

以下の事項に注意して下さい:このメソッドはスマートなインストール クライアントとして動作するデバイスとスマートなインストール ディレクターとして動作するデバイスの間で区別できません。 したがって、show vstack config コマンドは可能な限り好まれます。

スマートなインストールを無効に すること

「vstack」コマンドを発行しないで下さい

Ciscoスイッチの正常な配置に、管理者は機能がオペレーションにもはや必要とならないのでスマートなインストールが使用されない場合スマートなインストールを利用するか、またはすぐにスマートなインストール クライアント機能を無効に する必要があります。 スマートなインストール機能は vstack コマンドで無効に することができません。

制限するスマートなインストール アクセス

使用不可能な「vstack 無し」コマンドかゼロ タッチ配備より多くのために使用されるスマートなインストール

vstack コマンドが利用できないまたはところでスマートなインストールが多くによりちょうどゼロ タッチ配備のために使用されるネットワークに関しては、顧客は IBD だけポート 4786 のすべての IBCs に TCP 接続があることを確認する必要があります。 管理者は Cisco 影響を受けたデバイスのスマートなインストール配備のために次のセキュリティ上の推奨事項を使用できます:

- インターフェイス アクセス コントロール リスト（ACL）

- コントロール プレーン ポリシング（CoPP）

インターフェイス ACL は 10.10.10.1 であるスマートなインストール ディレクター（IBD）の IP アドレスおよび 10.10.10.200 であるスマートなインストール クライアント（IBC）の IP アドレスの次の例のように、見えるかもしれません:

ip access-list extended SMI_HARDENING_LIST

permit tcp host 10.10.10.1 host 10.10.10.200 eq 4786

deny tcp any any eq 4786

permit ip any any

この ACL はそれからすべての IBCs のすべての IP インターフェイスで展開される必要があります。 それは IBD によってスイッチが最初に配備されるとき押すことができます。

追加のサポート

機能はまだまたはデバイスを疑うために有効に なったかどうか確認するようにサポートが要求する顧客は可能性としてはサポート チーム（アドバンスド サービス、TAC、等）に連絡し、Cisco によって要求されるように追加詳細を提供する必要があります不正利用されています。

参考資料

セキュリティ アドバイザリ

Cisco IOSソフトウェア スマートなインストール リモート コード 実行脆弱性

Cisco IOSソフトウェア スマートなインストール サービス拒否の脆弱性

Cisco IOSソフトウェア スマートなインストール サービス拒否の脆弱性

Cisco IOS および IOS XE ソフトウェア スマートなインストール サービス拒否の脆弱性

Cisco IOS および IOS XE ソフトウェア スマートなインストール メモリリークの脆弱性

Cisco スマートなインストール プロトコル誤用（最初送達された 14-Feb-2017）

Cisco IOS および IOS XE ソフトウェア スマートなインストール サービス拒否の脆弱性（最初送達された 28-Mar-2018）

Cisco IOS および IOS XE ソフトウェア スマートなインストール リモート コード 実行脆弱性（最初送達された 28-Mar-2018）

ブログ ポスト

Cisco ブログ ポスト、「Cisco PSIRT – Cisco スマートなインストール機能の潜在的な濫用を」軽減し、検出する（送達された 27-Feb-2017）

Cisco Talos ブログ ポスト、「スマートなインストール クライアント プロトコル濫用のための Cisco カバレッジ」（送達された 27-Feb-2017）

Cisco Talos ブログ ポスト危険な状態の、「重要なインフラストラクチャ: 高度アクターはスマートなインストール クライアントを」ターゲットとします（送達された 5-Apr-2018）

ツール及び追加参照

Cisco IOSソフトウェア チェッカー

TALOS スマートなインストール検出 ツール

スマートなインストール コンフィギュレーション ガイド

付録—スマートなインストール機能 警告

自動ディセーブル スマートなインストール

Cisco バグ ID CSCvd36820 からの変更を統合するソフトウェア リリースでは自動ディセーブルがブートの後でとすぐゼロ タッチ配備が使用されていないスイッチ 検出もし、Cisco スマートなインストール クライアント機能。

「vstack 無し」コマンドのサポート

スマートなインストール クライアント機能を無効に する vstack グローバル 設定 コマンドの使用は Cisco 問題 CSCtj75729 （TCPポートのスマートなインストール デフォルトサービスをのための修正で 4786）締める能力導入されませんでした。 Cisco IOS か IOS XE ソフトウェアのリリースサポートがスマートなインストール クライアント機能しかし vstack コマンドない場合、リリースは Cisco 問題 CSCtj75729 のための修正が含まれていません。

「vstack」コマンドはリロードを渡って持続しません

注: vstack コマンドは Cisco IOS および IOS XE ソフトウェアの次のリリースで Cisco 問題 CSCvd99197 によるリロードを渡って持続しません:

- Cisco Catalyst 4500 および 4500-X シリーズ スイッチ: 3.9.2E/15.2(5)E2

- Cisco Catalyst 6500 シリーズ スイッチ: 15.1(2)SY11、15.2(1)SY5、15.2(2)SY3

- Cisco Industrial Ethernet 4000 シリーズ スイッチ: 15.2(5)E2、15.2(5)E2a

- Cisco ME 3400 および ME 3400E シリーズ イーサネット アクセス スイッチ: 12.2(60)EZ11

のこれらのリリース実行している顧客向けに Cisco は nonaffected リリースにアップグレードまたはダウングレードするか、またはデバイスの各リロードの後で vstack コマンドを再構成しないためにオートメーションを置くことを推奨します。

既存のスマートなインストール（SMI）プロセス

vstack コマンドは実行 SMI プロセスを強制終了しませんが、New 要求を防ぎます。 vstack が入らない時、以前に クライアントはプロセスが完了か失敗まで実行し続ける操作を行う SMI 要求を受け取ったが。 vstack をメモリへの託し、リロードはこれらのメッセージを削除する必要があります。 これは CSCvd36820 のための修正の一部として当たります。

追加スマートなインストール情報

- Cisco スマートなインストール クライアントはローカル コンソールにアラートを定期的に発信する必要があります。 これは機能が有効に なること顧客に対応を提供するために追加されました。 これは CSCvd36810 によってされました。

- show vstack config 専門語を整合させて下さい。 この修正前に、ロール情報のための出力はわずかに異なり、混合を引き起こしました。 修正は CSCvd35782 によって行われました。

- スマートなインストール設定を設定で見えるようにして下さい。 デフォルトで、SMI は決してすべての構成 show running か show running で vstack を示すのが常でありませんでした。 Cisco は有効に なれば、vstack が実行コンフィギュレーションにあるようにこれを追加しました。 これは CSCvd36799 によってされました。

- スマートなインストール機能は 16.4.2 からのより多くの最新のリリースで、特に、16.5.1b、16.6.2、16.7.1、およびそれ以降削除されました。 これは CSCvf04861 および CSCvg90005 によってされました。

URL

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180409-smi

改訂履歴

Version

Description

Section

Status

日付

1.2

参照資料の一覧を掲載する付録を追加。

Details

Final

2018 年 4 月 11 日

1.1

表内のリンク、書式、テキストを更新。 コード例のテキストと書式を更新。

Details

Final

2018 年 4 月 10 日

1.0

初回公開リリース

—

Final

2018 年 4 月 9 日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。