Cisco IOS、IOS XE、IOS XR、および NX-OS ソフトウェアの One Platform Kit における Remote Code Execution Vulnerability

Cisco IOS ソフトウェア、Cisco IOS XE ソフトウェア、Cisco IOS XR ソフトウェア、および Cisco NX-OS ソフトウェアの Cisco One Platform Kit（onePK）の Topology Discovery Service における脆弱性により、認証されていない隣接した攻撃者が任意のコードを実行したり、影響を受けるデバイスにサービス妨害（DoS）状態を引き起こしたりする可能性があります。

この脆弱性は、onePK Topology Discovery Service が Cisco Discovery Protocol メッセージを解析するときの長さ制限が不十分であることに起因します。攻撃者は、影響を受けるデバイスに悪意のある Cisco Discovery Protocol メッセージを送信することで、この脆弱性をエクスプロイトする可能性があります。エクスプロイトに成功すると、攻撃者はスタックオーバーフローを生じさせることができ、管理者権限を使用して任意のコードを実行したり、プロセスクラッシュを引き起こしたりできます。その結果、デバイスのリロードが行われ、DoS 状態が生じることがあります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ios-nxos-onepk-rce-6Hhyt4dC

このアドバイザリは、2020 年 6 月 3 日に公開された 25 件の脆弱性に関する 23 件のシスコ セキュリティ アドバイザリを含む Cisco IOS ソフトウェアおよび IOS XE ソフトウェアリリースのセキュリティ アドバイザリ バンドルの一部です。アドバイザリの全リストとそのリンクについては、『シスコイベントレスポンス： Cisco IOSおよびIOS XEソフトウェアに関するセキュリティアドバイザリ公開資料（半年刊、2020年6月）』を参照してください。

この脆弱性に対処する回避策はありません。

ただし、onePK 機能を使用しないお客様には、この機能を無効にして攻撃対象領域を排除することを推奨します。管理者は、グローバル コンフィギュレーション モードで no onep コマンドを使用して、この機能を無効化できます。最後のリロード以降に onePK 機能が使用されているかどうかを確認する場合、管理者は show onep statistics コマンドを使用できます。

シスコはこのアドバイザリに記載された脆弱性に対処する無償のソフトウェアアップデートをリリースしています。お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットに対してのみとなります。そのようなソフトウェアアップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は以下のリンクに記載されたシスコのソフトウェアライセンスの条項に従うことに同意したことになります。
https://www.cisco.com/c/en/us/products/end-user-license-agreement.html

また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシスコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

ソフトウェアのアップグレードを検討する際には、[シスコのセキュリティアドバイザリおよびアラート（Cisco Security Advisories and Alerts）] ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

サービス契約をご利用でないお客様

シスコから直接購入したが Cisco Service Contract をご利用いただいていない場合、また、サードパーティベンダーから購入したが修正済みソフトウェアを POS から入手できない場合は、Cisco TAC に連絡してアップグレードを入手してください。
https://www.cisco.com/c/en/us/support/web/tsd-cisco-worldwide-contacts.html

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

Cisco IOS および IOS XE ソフトウェア

Cisco IOS ソフトウェアおよび IOS XE ソフトウェアの脆弱性による侵害の可能性を判断できるよう、シスコでは Cisco Software Checker を提供しています。このツールにより、特定のソフトウェアリリースに該当するシスコ セキュリティ アドバイザリ、および各アドバイザリで説明されている脆弱性が修正された最初のリリース（「First Fixed」）を特定できます。また該当する場合、そのリリースに関するすべてのアドバイザリの脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。

お客様は、Cisco Software Checker を使用して次の方法でアドバイザリを検索できます。

• ソフトウェアと 1 つ以上のリリースを選択します。
• 特定のリリースのリストを含む .txt ファイルをアップロードする
• show version コマンドの出力を入力する

検索を開始した後で、すべてのシスコ セキュリティ アドバイザリ、特定のアドバイザリ、または最新の公開資料に記載されているすべてのアドバイザリが含まれるように検索をカスタマイズできます。

また、15.1(4)M2や3.13.8SなどのCisco IOSまたはIOS XEソフトウェアリリースを入力して、そのリリースがCisco Security Advisoryの影響を受けるかどうかを判断する場合にも、次のフォームを使用できます。

デフォルトでは、Cisco Software Checker の結果には、Security Impact Rating（SIR）が「重大」または「高」の脆弱性だけが含まれます。「中間」の SIR 脆弱性の結果を含めるには、Cisco.com にある Cisco Software Checker を使用して、検索をカスタマイズするときに [影響の評価（Impact Rating）] の下にあるドロップダウンリストの [中間（Medium）] チェックボックスをオンにします。

Cisco IOS XE ソフトウェア リリースと Cisco IOS ソフトウェア リリースのマッピングについては、Cisco IOS XE ソフトウェアのリリースに応じて「Cisco IOS XE 2 Release Notes」、「Cisco IOS XE 3S Release Notes」、または「Cisco IOS XE 3SG Release Notes」を参照してください。

注： onePK機能は、リリース15.6(1)T以降のCisco IOSソフトウェアリリース、またはリリース3.17.2以降のCisco IOS XEソフトウェアリリースではサポートされていません。ただし、コードは引き続き存在し、機能を有効にすることができます。

Cisco IOS XR ソフトウェア

onePK 機能は Cisco IOS XR ソフトウェアリリース 6.0 以降ではサポートされていないため、有効にすることはできません。Cisco IOS XR ソフトウェアリリース 5.2 または 5.3 を使用しているお客様は、後続のリリースに移行することを推奨します。リリース 5.2 より前の Cisco IOS XR ソフトウェアリリースを使用しているお客様は、この脆弱性の影響を受けません。

Cisco NX-OS ソフトウェア

お客様が Cisco NX-OS ソフトウェアの脆弱性による侵害の可能性を判断できるよう、シスコでは Cisco Software Checker を提供しています。このツールにより、特定の Cisco NX-OS ソフトウェアリリースに該当するシスコ セキュリティ アドバイザリ、および各アドバイザリで説明されている脆弱性が修正された最初のリリース（「First Fixed」）を特定できます。また該当する場合、そのリリースに関するすべてのアドバイザリの脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。

お客様は、Cisco Software Checker を使用して次の方法でアドバイザリを検索できます。

• ソフトウェア、プラットフォーム、および 1 つ以上のリリースを選択する
• 特定のリリースのリストを含む .txt ファイルをアップロードする
• show version コマンドの出力を入力する

検索を開始した後で、すべてのシスコ セキュリティアドバイザリまたは 1 つ以上の特定のアドバイザリが含まれるように検索をカスタマイズできます。

また、Cisco NX-OSソフトウェアおよびプラットフォームを選択してリリースを入力すると、リリースがCisco Security Advisoryの影響を受けるかどうかを確認できます。たとえば、Cisco Nexus 3000シリーズスイッチの場合は7.0(3)I7(5)、ACIモードのCisco NX-OSソフトウェアの場合は14.0(1h)です。

デフォルトでは、Cisco Software Checker の結果には、Security Impact Rating（SIR）が「重大」または「高」の脆弱性だけが含まれます。「中間」の SIR 脆弱性の結果を含めるには、Cisco Software Checker を使用して、検索をカスタマイズするときに [影響の評価（Impact Rating）] ドロップダウンリストの [中間（Medium）] チェックボックスをオンにします。

注： onePK機能は、Nexus 9000シリーズスイッチ用のCisco NX-OSソフトウェアではサポートされておらず、次のCisco NX-OSソフトウェアリリースではサポートされていませんが、これらのリリースでもコードは引き続き存在し、機能を有効にできます。

• Nexus 3000シリーズスイッチ：6.0(2)U4(1) ～ 7.0(3)I7(7)
• Nexus 3500シリーズスイッチ：6.0(2)A4(1) ～ 7.0(3)I7(7)
• Nexus 5500および5600プラットフォームスイッチ：7.3 ～ 7.3(6)N1(1)
• Nexus 6000シリーズスイッチ：7.3 ～ 7.3(6)N1(1)
• Nexus 7000シリーズスイッチ：7.3(2)D1(1) ～ 8.4(1)

次の Cisco NX-OS ソフトウェアリリースでは、すべての onePK コードが削除されています。

• Nexus 3000および9000シリーズスイッチ：7.0(3)I7(8)以降および9.2(1)以降
• Nexus 5500および5600プラットフォームスイッチ：7.3(7)N1(1)以降
• Nexus 6000シリーズスイッチ：7.3(7)N1(1)以降
• Nexus 7000シリーズスイッチ：8.4(2)以降

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

本脆弱性は、セキュリティテストによって発見されました。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。