Medium

アドバイザリーID : cisco-sa-ipv6-acl-CHgdYk8j

初公開日 : 2021-02-03 16:00

バージョン 1.0 : Final

CVSSスコア : 5.8

回避策 : No workarounds available

Cisco バグ ID : CSCvv45698 CSCvm55638

CVE-2021-1389

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

特定のシスコデバイスに対するCisco IOS XRソフトウェアおよびCisco NX-OSソフトウェアのIPv6トラフィック処理の脆弱性により、認証されていないリモートの攻撃者が、該当デバイスのインターフェイスに設定されているIPv6アクセスコントロールリスト(ACL)をバイパスできる可能性があります。

この脆弱性は、該当デバイスを介して送信されるIPv6トラフィックの不適切な処理に起因します。攻撃者は、該当デバイスを通過する巧妙に細工されたIPv6パケットを送信することで、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は通常インターフェイスACLによって保護されるリソースにアクセスできる可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ipv6-acl-CHgdYk8j

該当製品

脆弱性のある製品

この脆弱性は、Cisco IOS XRソフトウェアまたはCisco NX-OSソフトウェアの脆弱性が存在するリリースを実行し、IPv6 ACLが設定されている次のシスコデバイスに影響を与えました。

- Network Convergence System（NCS）540 シリーズ ルータ

- NCS 560 シリーズ ルータ

- NCS 5500 シリーズ

- Nexus 3600 プラットフォーム スイッチ

- Nexus 9500 Rシリーズスイッチングプラットフォーム

脆弱性が存在する Cisco ソフトウェアリリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。

Cisco IOS XRソフトウェアの設定の確認

適用されたコマンドとマクロ名を表示するには、show running-config | include ipv6 access-listコマンドを使用して、IPv6の設定済みACLを表示します。このコマンドで出力が生成される場合、そのデバイスは脆弱であると見なされます。次の例は、IPv6 ACLが設定されているデバイスでの出力を示しています。

Router# show running-config  | include ipv6 access-list

ipv6 access-list <acl_name>

これはIPv4 ACLには適用されません。

Cisco NX-OSソフトウェアの設定の確認

show ipv6 access-listsコマンドを使用して、IPv6用に設定されたACLを表示します。このコマンドで出力が生成される場合、そのデバイスは脆弱であると見なされます。次の例は、IPv6 ACLが設定されているデバイスでの出力を示しています。

Nexus# show ipv6 access-lists

IPv6 access list <acl_name>

これはIPv4 ACLには適用されません。

脆弱性を含んでいないことが確認された製品

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この脆弱性の影響を受けることが分かっています。

シスコは、この脆弱性が以下のシスコ製品には影響を与えないことを確認しました。

- NCS 520 シリーズ ルータ

- NCS 5000シリーズスイッチ

- NCS 6000 シリーズ ルータ

- IOS XR SWのみ

- IOS XRv 9000 ルータ

- ASR 9000 シリーズ アグリゲーション サービス ルータ

- Carrier Routing System（CRS）

- Firepower 1000 シリーズ

- Firepower 2100 シリーズ

- Firepower 4100 シリーズ

- Firepower 9300 セキュリティ アプライアンス

- MDS 9000 シリーズ マルチレイヤ スイッチ

- VMware vSphere 向け Nexus 1000 Virtual Edge

- Nexus 1000V Switch for Microsoft Hyper-V

- Nexus 1000V Switch for VMware vSphere

- Nexus 3000 シリーズ スイッチ

- Nexus 5500 プラットフォーム スイッチ

- Nexus 5600 プラットフォーム スイッチ

- Nexus 6000 シリーズ スイッチ

- Nexus 7000 シリーズ スイッチ

- スタンドアロン NX-OS モードの Nexus 9000 シリーズ スイッチ

- Nexus 9000 シリーズ ファブリック スイッチ（アプリケーション セントリック インフラストラクチャ（ACI）モード）

- UCS 6200 シリーズ ファブリック インターコネクト

- UCS 6300 シリーズ ファブリック インターコネクト

- UCS 6400 シリーズ ファブリック インターコネクト

詳細

Cisco IOS XR ソフトウェア

Cisco IOS XRソフトウェアの修正済みリリースにアップグレードすると、不適切に処理される可能性があるIPv6パケットを検出できます。検出されると、デバイスはこれらのパケットをさらに処理するためにメインCPUに送信します。このアクティビティにより、特定のネットワークトラフィックパターンに一致するIPv6パケットの転送パフォーマンスが低下する可能性があります。

デバイスがIPv6パケット分類を実行するように設定されていない場合、管理者はIPv6パケットに対するCPUベースの検査を無効にすることができます。この機能を無効にするには、グローバルコンフィギュレーションモードでCLIコマンドhw-module profile acl ipv6 ext-header permitを使用します。デバイスで修正済みのCisco IOS XRソフトウェアリリースが実行されている場合でも、このアクションを実行すると、アドバイザリで説明されている脆弱性がデバイスに及ぶことに注意してください。

このアドバイザリで説明されている脆弱性は、該当デバイスを通過するIPv6パケットにのみ適用されます。IPv4トラフィックや、該当デバイス宛てのIPv6トラフィックには適用されません。

Cisco NX-OS ソフトウェア

この脆弱性からデバイスを保護するには、管理者はCisco NX-OSソフトウェアの修正済みリリースをインストールし、デバイスに設定されているすべてのIPv6 ACLにルールextension-header deny-allを適用する必要があります。デバイスで設定されているすべてのIPv6 ACLにextension-header deny-allルールが適用されるまでは、そのデバイスは脆弱性が存在すると見なされます。このルールは、デバイスで修正済みのCisco NX-OSソフトウェアリリースが稼働している場合でも適用されます。

Cisco NX-OSリリース9.3(7)以降、Cisco Nexus 3600プラットフォームスイッチおよびCisco Nexus 9500 Rシリーズスイッチングプラットフォームには、ルールextension-header {permit-all | deny-all}を使用して、拡張ヘッダーを含むIPv6パケットを廃棄します。このルールはデフォルトでは有効になっていません。ルールextension-header deny-allが設定されている場合、デバイスは、パケットの他のフィールドと一致する他のIPv6 ACLルールに関係なく、少なくとも1つの拡張ヘッダーを持つすべてのIPv6パケットをドロップします。

ルールextension-header permit-allが設定されている場合、そのデバイスには脆弱性が存在します。

extension-header {permit-all | deny-all}については、『Cisco Nexus 3600 NX-OSユニキャストルーティング設定ガイド』または『Cisco Nexus 9000シリーズNX-OSユニキャストルーティング設定ガイド』を参照してください。

ACLの設定の詳細については、『Cisco Nexus 3600 NX-OSセキュリティコンフィギュレーションガイド』または『Cisco Nexus 9000シリーズNX-OSセキュリティコンフィギュレーションガイド』を参照してください。

回避策

この脆弱性に対処する回避策はありません。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する際には、シスコ セキュリティ アドバイザリ ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性とアップグレード ソリューション一式を確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

修正済みリリース

Cisco IOS XR ソフトウェア

公開時点では、Cisco IOS XRソフトウェアリリース6.6.3、6.7.1、7.1.1、7.2.1以降にこの脆弱性に対する修正が含まれています。

最も完全で最新の情報については、このアドバイザリの上部にあるバグ ID の詳細セクションを参照してください。

Cisco NX-OS ソフトウェア

デバイスをCisco NX-OSソフトウェアの修正済みリリースにアップグレードした後は、デバイスに設定されているすべてのIPv6 ACLにルールextension-header deny-allを適用する必要があります。このルールはデフォルトでは有効になっていません。デバイスで設定されているすべてのIPv6 ACLにextension-header deny-allルールが適用されるまでは、そのデバイスは脆弱性が存在すると見なされます。このルールは、デバイスで修正済みのCisco NX-OSソフトウェアリリースが稼働している場合でも適用されます。

extension-header deny-allルールの設定の詳細については、『Cisco Nexus 3600 NX-OSユニキャストルーティング設定ガイド』または『Cisco Nexus 9000シリーズNX-OSユニキャストルーティング設定ガイド』を参照してください。

お客様が Cisco NX-OS ソフトウェアの脆弱性による侵害の可能性を判断できるよう、シスコでは Cisco Software Checker を提供しています。このツールにより、特定の Cisco NX-OS ソフトウェアリリースに該当するシスコ セキュリティ アドバイザリ、および各アドバイザリで説明されている脆弱性が修正された最初のリリース（「First Fixed」）を特定できます。また該当する場合、そのリリースに関するすべてのアドバイザリの脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。

お客様は、Cisco Software Checker を使用して次の方法でアドバイザリを検索できます。

- ソフトウェア、プラットフォーム、および 1 つ以上のリリースを選択する

- 特定のリリースのリストを含む .txt ファイルをアップロードする

- show version コマンドの出力を入力する

検索を開始した後で、すべてのシスコ セキュリティ アドバイザリまたは 1 つ以上の特定のアドバイザリが含まれるように検索をカスタマイズできます。

また、次のフォームを使用して、Cisco NX-OS ソフトウェアとプラットフォームを選択、およびリリースを入力することで（例：Cisco Nexus 3000 シリーズ スイッチの 7.0(3)I7(5) 、ACI モードの Cisco NX-OS ソフトウェアの 14.0(1h)）、シスコ セキュリティ アドバイザリの対象となるリリースであるかを判断することもできます。

Cisco NX-OS ソフトウェア ACI モードの Cisco NX-OS ソフトウェア MDS 9000 シリーズ マルチレイヤ スイッチ Nexus 1000V シリーズ スイッチ Nexus 3000 シリーズ スイッチ Nexus 5000 シリーズ スイッチ Nexus 6000 シリーズ スイッチ Nexus 7000 シリーズ スイッチ Nexus 9000 シリーズ スイッチ

デフォルトでは、Cisco Software Checker の結果には、Security Impact Rating（SIR）が「重大」または「高」の脆弱性だけが含まれます。「中間」の SIR 脆弱性の結果を含めるには、Cisco Software Checker を使用して、検索をカスタマイズするときに [影響の評価（Impact Rating）] ドロップダウンリストの [中間（Medium）] チェックボックスをオンにします。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

出典

この脆弱性は Cisco TAC サポートケースの解決中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ipv6-acl-CHgdYk8j

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.0

初回公開リリース

-

Final

2021 年 2 月 3 日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。