Cisco IOS XE ソフトウェアのエラーディセーブル サービス妨害（DoS）の脆弱性

この脆弱性は、Cisco IOS XE ソフトウェアの脆弱性が存在するリリースを実行していて、VLAN とポートの両方のレベルでエラーディセーブル機能が有効になっている Cisco Catalyst 3650、3850、および 4500E シリーズ スイッチに影響を及ぼします。

脆弱性が存在する Cisco IOS XE ソフトウェア リリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。

デバイスが影響を受ける設定を実行中かどうかの確認

デバイスが VLAN とポートの両方のレベルで影響を受ける設定を実行しているかどうかを確認するには、次の両方の手順を実行します。

ステップ1:VLANレベル

手順 1 を完了するためのオプションは 2 つあります。

オプションA:show errdisable detect

CLI コマンド show errdisable detect | include vlan を発行します。このコマンドの出力に表示されているデバイスの各 VLAN モード機能ごとに、手順 2 の対応する部分を実行します。次の例は、VLAN の bpduguard（BPDU Guard）、psecure-violation（ポート セキュリティ違反）、および security-violation（802.1x セキュリティ違反）に関する VLAN モード エラーディセーブル検出用に設定されているデバイスを示しています。

switch#show errdisable detect | include vlan
  bpduguard                    Enabled          vlan
  psecure-violation            Enabled          port/vlan
  security-violation           Enabled          vlan
  switch#

オプションB:show running-config

デバイスが VLAN レベルで影響を受ける設定を実行しているかどうかを確認するには、異なる 2 つの include ステートメントを使用して、show running-config コマンドを 2 回発行します。

• 最初に、CLI コマンド show running-config | include shutdown vlan を発行します。このコマンドの出力に表示されているデバイスの各 VLAN モード機能ごとに、手順 2 の対応する部分を実行します。 次の例は、VLAN の security-violation（802.1x セキュリティ違反）および bpduguard（BPDU Guard）に関する VLAN モード エラーディセーブル検出用に設定されているデバイスを示しています。

  switch#show running-config | include shutdown vlan
        errdisable detect cause security-violation shutdown vlan
        errdisable detect cause bpduguard shutdown vlan
        switch#

• 次に、CLI コマンド show running-config | include switchport port-security violation shutdown vlan を発行します。コマンドの出力が表示されたら、手順 2 の対応する部分を実行します。 次の例は、VLAN のポート セキュリティ違反に関する VLAN モード エラーディセーブル検出用に設定されているデバイスを示しています。

  switch#show running-config | include switchport port-security violation shutdown vlan
        switchport port-security violation shutdown vlan
        switch#

ステップ2：ポートレベル

手順 1 で明らかになった各 VLAN モードの設定機能ごとに次の手順を実行して、その機能がポート レベルでも有効になっているかどうかを確認します。

• BPDUガード：検出対象のVLANによるエラーディセーブルが原因でbpduguardが有効になっている場合は、デバイスにBPDUガードも設定されていることを確認します。設定に次のいずれかが含まれている場合、そのデバイスは脆弱です。

  spanning-tree  portfast bpduguard default
    interface  <interface-id>
    spanning-tree portfast

  または

  interface  <interface-id>
    spanning-tree bpduguard enable 

• ポートセキュリティ違反：検出対象のポート/vlanごとのエラーディセーブルにより、psecure-violationがデフォルトで有効になります。そのデバイスにポート セキュリティおよび violation vlan shutdown も設定されていることを確認します。show port-security の出力に Shutdown Vlan を含む行が含まれている場合、そのデバイスは脆弱です（次の例を参照）。

  switch#show port-security
  Secure Port  MaxSecureAddr  CurrentAddr  SecurityViolation  Security Action
                  (Count)       (Count)          (Count)
  ---------------------------------------------------------------------------
     Gi1/0/48              1            1                  5    Shutdown Vlan
  ---------------------------------------------------------------------------
  Total Addresses in System (excluding one mac per port)     : 0
  Max Addresses limit in System (excluding one mac per port) : 4096
  switch#

• 802.1xセキュリティ違反：検出対象のVLANによるエラーディセーブルが原因でsecurity-violationが有効になっている場合は、デバイスに802.1x認証も設定され、音声VLANも設定されていることを確認します。設定に次の内容が含まれていて、authentication violation {protect|replace|restrict}が含まれていない場合、そのデバイスには脆弱性が存在します。

  interface  <interface-id>
    authentication port-control value
    switchport voice vlan value

  ただし、CLI の出力に次の内容も含まれている場合、そのデバイスは脆弱ではありません。

  authentication violation {protect|replace|restrict}

Cisco IOS XE ソフトウェア リリースの判別

デバイス上で実行されている Cisco IOS XE ソフトウェア リリースは、管理者がデバイスにログインして、CLI で show version コマンドを実行し、表示されるシステム バナーを参照することにより確認できます。デバイスが Cisco IOS XE ソフトウェアを実行している場合、システム バナーに「Cisco IOS Software」、「Cisco IOS XE Software」などのテキストが表示されます。

次に、Cisco IOS XR ソフトウェア リリース 16.2.1 が実行されていて、インストールされているイメージ名が CAT3K_CAA-UNIVERSALK9-M であるデバイスでのコマンドの出力例を示します。

ios-xe-device# show version

Cisco IOS Software, Catalyst L3 Switch Software (CAT3K_CAA-UNIVERSALK9-M), Version Denali 16.2.1, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2016 by Cisco Systems, Inc.
Compiled Sun 27-Mar-16 21:47 by mcpre
.
.
.

Cisco IOS XE ソフトウェア リリースの命名と番号付けの規則に関する詳細は、『Cisco IOS and NX-OS Software Reference Guide』を参照してください。

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この脆弱性の影響を受けることが分かっています。

シスコは、この脆弱性が Cisco IOS ソフトウェア、Cisco IOS XR ソフトウェア、および Cisco NX-OS ソフトウェアには影響を与えないことを確認しました。