Informational

アドバイザリーID : cisco-sa-20190925-l2-traceroute

初公開日 : 2019-09-25 16:00

バージョン 1.0 : Final

回避策 : No workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

レイヤ2(L2)のtracerouteユーティリティは、パケットが送信元デバイスから宛先デバイスに向かうL2パスを識別します。Cisco Catalystスイッチ用のCisco IOSソフトウェアおよびCisco IOS XEソフトウェアは、Cisco CatOSソフトウェアからL2 traceroute機能を継承しています。そのため、この機能はCisco IOSおよびIOS XEソフトウェアが最初にリリースされて以来サポートされています。シスコは、L2 traceroute機能がCisco IOS XRソフトウェアまたはCisco NX-OSソフトウェアでサポートされていないことを確認しました。

Cisco Catalystスイッチ用のCisco IOSおよびIOS XEソフトウェアでは、L2 traceroute機能はデフォルトで有効になっています。この機能を有効にすると、IPv4を介して到達可能なL2 tracerouteサーバがUDPポート2228でリスニングを開始します。次に、L2 traceroute機能が有効になっているデバイスでのshow ip socketsコマンドの出力例を示します。

Switch#show ip sockets

Proto        Remote      Port      Local       Port  In Out  Stat TTY OutputIF

17     0.0.0.0             0 10.10.10.1       2228   0   0   211   0

設計上、L2 tracerouteサーバは認証を必要とせず、影響を受けるデバイスに関する次のような特定の情報を読み取ることができます。

- [hostname]

- ハードウェアモデル

- 設定されたインターフェイス

- 設定されたIPアドレス

- VLAN データベース

- MACアドレステーブル

- レイヤ2フィルタリングテーブル

- Cisco Discovery Protocol(CDP)ネイバー情報

ネットワーク内の複数のスイッチからこの情報を読み取ると、攻撃者はそのネットワークの完全なL2トポロジマップを構築できる可能性があります。

このアドバイザリの「推奨事項」の項で説明されているように、L2 tracerouteサーバを保護することを推奨します。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190925-l2-traceroute

不正利用事例と公式発表

Cisco Product Security Incident Response Team(PSIRT)は、このアドバイザリに記載されているL2 traceroute機能を悪用するために使用される可能性がある公開不正利用コードが存在することを認識しています。

出典

シスコは、この問題を報告していただいた独立したセキュリティ研究者であるChris Marget氏に感謝いたします。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190925-l2-traceroute

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.0

初回公開リリース

-

Final

2019 年 9 月 25 日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。