Medium

アドバイザリーID : cisco-sa-20190828-nxos-ntp-dos

初公開日 : 2019-08-28 16:00

最終更新日 : 2019-10-08 14:45

バージョン 1.1 : Final

CVSSスコア : 8.6

回避策 : Yes

Cisco バグ ID : CSCvm51142 CSCvm51138 CSCvm35740 CSCvm51139

CVE-2019-1967

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco NX-OS ソフトウェアのネットワーク タイム プロトコル（NTP） 機能の脆弱性はリモート攻撃者非認証により影響を受けたデバイスのサービス拒否 （DoS）条件を引き起こすようにする可能性があります。

脆弱性は影響を受けたデバイスが受け取った MODE_PRIVATE （モード 7） NTP パケットのためのドロップアクションを記録 して いるときシステム リソースの余分な使用が原因です。 攻撃者はモードの安定したストリームとデバイスにあふれることによって 7 つの NTP パケットこの脆弱性を不正利用する可能性があります。 正常なエクスプロイトは攻撃者により内部 システム プロセスが影響を受けたデバイスを再起動するか、または予想に反してリロードさせます可能性がある影響を受けたデバイスの高CPU およびメモリ使用量を引き起こすことを可能にする可能性があります。

注: NTP 機能はデフォルトで有効に なります。

シスコはこの脆弱性に対処するソフトウェア アップデートをリリースしました。 本脆弱性に対処する回避策がいくつかあります。

このアドバイザリは、次のリンクより確認できます。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190828-nxos-ntp-dos

該当製品

脆弱性のある製品

パブリケーションの時に、この脆弱性は Cisco NX-OS ソフトウェアの脆弱なリリースを実行して、NTP 機能を有効に してもらったら以下のシスコ製品に影響を及ぼしました:

- MDS 9000 シリーズ マルチレイヤ スイッチ

- Nexus 3000 シリーズ スイッチ

- Nexus 3500 プラットフォーム スイッチ

- Nexus 3600 プラットフォーム スイッチ

- Nexus 5500 プラットフォーム スイッチ

- Nexus 5600 プラットフォーム スイッチ

- Nexus 6000 シリーズ スイッチ

- Nexus 7000 シリーズ スイッチ

- Nexus 7700 シリーズ スイッチ

- スタンドアロン NX-OS モードの Nexus 9000 シリーズ スイッチ

- Nexus 9500 R シリーズ スイッチング プラットフォーム

情報に関してはどのについての Cisco NX-OS ソフトウェアがリリースするかパブリケーションの時に脆弱、見ますこのアドバイザリの修正済みソフトウェアのセクションをでした。 最も完全な、現在の情報についてはこのアドバイザリの上でバグID の詳細 セクションを参照して下さい。

NTP 機能はデフォルトで有効に なります。 管理者は、show running-config | NTP 機能が手動で 無効に なったかどうか確認するために Cisco NX-OS CLI からの「機能 NTP」コマンドを含んで下さい。 コマンドが空出力を戻す場合、NTP 機能は有効に なり、デバイスは脆弱です。 コマンドが次の出力を戻す場合、NTP 機能は無効に なり、デバイスは脆弱ではないです:

nxos-switch# show running-config | include "feature ntp"

no feature ntp

脆弱性を含んでいないことが確認された製品

このアドバイザリの脆弱性が存在する製品のセクションにリストされている製品だけ既知この脆弱性によって影響されるためにである。

シスコは、この脆弱性が以下のシスコ製品には影響を与えないことを確認しました。

- Firepower 2100 シリーズ

- Firepower 4100 シリーズ

- Firepower 9300 セキュリティ アプライアンス

- VMware vSphere 向け Nexus 1000 Virtual Edge

- Nexus 1000V Switch for Microsoft Hyper-V

- Nexus 1000V Switch for VMware vSphere

- Nexus 9000 シリーズ ファブリック スイッチ（アプリケーション セントリック インフラストラクチャ（ACI）モード）

- UCS 6200 シリーズ ファブリック インターコネクト

- UCS 6300 シリーズ ファブリック インターコネクト

- UCS 6400 シリーズ ファブリック インターコネクト

セキュリティ侵害の痕跡

この脆弱性の不正利用により影響を受けたデバイスは次と同じようなログメッセージの一定したストリームを生成します可能性があります:

USER-3-SYSTEM_MSG: NTP Receive dropping message: Received NTP private mode packet. Drop count: x  - ntpd

顧客はログメッセージを検討し、脆弱性がデバイスで不正利用されたかどうか判別するためにサポート 組織に連絡するように勧告されます。

回避策

管理者は 3 から 2 のデフォルト値からのデーモンのログ レベルを下げる影響を受けたデバイスの次の設定コマンドを使用できます:

logging level daemon 2

これはこの問題へのデバイス公開を除去しましたが、影響を受けたデバイスをデバイス オペレーションを監視して役立つかもしれない他の syslog メッセージを記録 することを止めさせました。

NTP 機能を使用していない顧客は機能 NTP 設定コマンドでそれを無効に することができません。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する際には、Cisco Security Advisories and Alerts ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成は新規リリースでも継続して適切なサポートが受けられることを確認してください。 不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

修正済みリリース

パブリケーションの時に、次のテーブルのリリース情報は正確でした。 最も完全な、現在の情報についてはこのアドバイザリの上でバグID の詳細 セクションを参照して下さい。

左カラムは Ciscoソフトウェアリリースをリストし、リリースがこの アドバイザリに記載される 脆弱性から影響を受けしたこの脆弱性のための修正が含まれていたかどうかリリースし、右の列は示します。

MDS 9000 シリーズ マルチレイヤ スイッチ： CSCvm51139

Cisco NX-OS ソフトウェア リリース

この脆弱性に対する最初の修正リリース

5.2

脆弱性なし

6.2

6.2(29)

7.3

8.3(2)

8.1

8.3(2)

8.2

8.3(2)

8.3

8.3(2)

8.4

脆弱性なし

スタンドアロン NX-OS モードの Nexus 3000 シリーズ スイッチおよび Nexus 9000 シリーズ スイッチ： CSCvm51138

Cisco NX-OS ソフトウェア リリース

この脆弱性に対する最初の修正リリース

6.0(2)U6 より先に

脆弱性なし

6.0(2)U6

7.0(3)I7(6)

7.0(3)I

7.0(3)I7(6)

9.2

9.2(2)

9.3

脆弱性なし

Nexus 3500 プラットフォーム スイッチ： CSCvm51142

Cisco NX-OS ソフトウェア リリース

この脆弱性に対する最初の修正リリース

6.0(2)A6 より先に

脆弱性なし

6.0(2)A8

6.0(2)A8(11)

7.0(3)I7

7.0(3)I7(6)

9.2

9.2(2)

9.3

脆弱性なし

Nexus 3600 プラットフォーム スイッチおよび Nexus 9500 R シリーズ スイッチング プラットフォーム： CSCvm51138

Cisco NX-OS ソフトウェア リリース

この脆弱性に対する最初の修正リリース

7.0(3)F

9.2(2)

9.2

9.2(2)

9.3

脆弱性なし

Nexus 5500、5600、6000 シリーズ スイッチ： CSCvm35740

Cisco NX-OS ソフトウェア リリース

この脆弱性に対する最初の修正リリース

先により 7.1(4)

脆弱性なし

7.1(4)

7.3(5)N1(1)

7.1(5)

7.3(5)N1(1)

7.2

7.3(5)N1(1)

7.3

7.3(5)N1(1)

Nexus 7000 および 7700 シリーズ スイッチ CSCvm51139

Cisco NX-OS ソフトウェア リリース

この脆弱性に対する最初の修正リリース

6.2 より前

脆弱性なし

6.2

7.3(3)D1(1)

7.2

7.3(3)D1(1)

7.3

7.3(3)D1(1)

8.0

8.2(3)

8.1

8.2(3)

8.2

8.2(3)

8.3

8.3(2)

8.4

脆弱性なし

関連情報

Cisco Nexus スイッチに最適な Cisco NX-OS ソフトウェア リリースの決定に関してサポートが必要な場合は、以下の推奨リリースに関するドキュメントを参照してください。 セキュリティ アドバイザリでより新しいリリースが推奨されている場合は、そのアドバイザリのガイダンスに従うことをお勧めします。

Cisco MDS シリーズ スイッチ

VMware 向け Cisco Nexus 1000V スイッチ

Cisco Nexus 3000 シリーズおよび 3500 シリーズ スイッチ

Cisco Nexus 5000 シリーズ スイッチ

Cisco Nexus 5500 プラットフォーム スイッチ

Cisco Nexus 6000 Series Switches

Cisco Nexus 7000 シリーズ スイッチ

Cisco Nexus 9000 シリーズ スイッチ

ACI モードの Cisco Nexus 9000 シリーズ スイッチ

Cisco UCS に最適な Cisco NX-OS ソフトウェア リリースの確認に関してサポートが必要な場合は、デバイスのリリース ノートに記載されている推奨リリースに関するドキュメントを参照してください。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例やその公表を確認していません。

出典

この脆弱性は、Cisco TAC のサポート ケースの解決中に発見されました。

URL

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190828-nxos-ntp-dos

改訂履歴

バージョン

説明

セクション

ステータス

Date

1.1

MDS 修正済みリリース 表を更新しました。

修正済みソフトウェア

最終版

2019-October-08

1.0

初回公開リリース

—

最終版

2019 年 8 月 28 日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。