Medium

アドバイザリーID : cisco-sa-nxos-udld-rce-xetH6w35

初公開日 : 2021-02-24 16:00

バージョン 1.0 : Final

CVSSスコア : 8.8

回避策 : No workarounds available

Cisco バグ ID : CSCvv78238 CSCvv96092 CSCvv96107 CSCvv96090 CSCvw38981 CSCvw38982 CSCvw38983 CSCvw38984 CSCvw38995 CSCvw45654 CSCvw38964 CSCvv96088

CVE-2021-1368

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco FXOSソフトウェアおよびCisco NX-OSソフトウェアのUnidirectional Link Detection(UDLD)機能の脆弱性により、認証されていない隣接する攻撃者が管理者権限で任意のコードを実行したり、該当デバイスでサービス拒否(DoS)状態をしたりする可能性があります。

この脆弱性は、入力検証が不十分であることに起因します。攻撃者は、巧妙に細工されたCisco UDLDプロトコルパケットを直接接続された該当デバイスに送信することにより、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は管理者権限で任意のコードを実行したり、Cisco UDLDプロセスが複数回クラッシュして再起動したりし、該当デバイスがリロードしてDoS状態が発生する可能性があります。

注：UDLD機能はデフォルトで無効になっており、この脆弱性を悪用する条件は厳格です。攻撃者は、直接接続されたデバイスを完全に制御する必要があります。そのデバイスは、UDLDが有効になっているポートチャネル経由で接続されている必要があります。任意のコード実行をトリガーするには、UDLD対応ポートチャネルと特定のシステム条件の両方が存在する必要があります。UDLD対応のポートチャネルまたはシステムの状態がない場合、この脆弱性を悪用しようとする試みはDoS状態になります。

攻撃者が不正利用に必要な条件を制御する可能性はあるが、非常に可能性は低いです。CVSSスコアはこの可能性を反映しています。ただし、シスコでは、この脆弱性に対して中程度のセキュリティ影響評価(SIR)を適用しています。

シスコはこの脆弱性に対処するソフトウェア アップデートをリリースしました。この脆弱性に対処する回避策はありません。

このアドバイザリは、次のリンクより確認できます。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nxos-udld-rce-xetH6w35

該当製品

脆弱性のある製品

この脆弱性は、Cisco FXOSまたはNX-OSソフトウェアの脆弱性のあるリリースを実行し、UDLD機能を有効にしている場合、次のシスコ製品に影響を与えました。

- Firepower 4100シリーズ(CSCvv96092 / CSCvw38984) 1

- Firepower 9300セキュリティアプライアンス(CSCvv96092 / CSCvw38984) 1

- MDS 9000シリーズマルチレイヤスイッチ(CSCvv96088 / CSCvw38981)

- Nexus 3000シリーズスイッチ(CSCvv78238 / CSCvw38964)

- Nexus 5500プラットフォームスイッチ(CSCvv96090 / CSCvw38982)

- Nexus 5600プラットフォームスイッチ(CSCvv96090 / CSCvw38982)

- Nexus 6000シリーズスイッチ(CSCvv96090 / CSCvw38982)

- Nexus 7000シリーズスイッチ(CSCvv96088 / CSCvw38981)

- スタンドアロンNX-OSモードのNexus 9000シリーズスイッチ(CSCvv78238 / CSCvw38964)

- UCS 6200シリーズファブリックインターコネクト(CSCvw45654)

- UCS 6300シリーズファブリックインターコネクト(CSCvw38983)

- UCS 6400シリーズファブリックインターコネクト(CSCvv96107 / CSCvw38995)

1. Firepower 4100/9300製品は正式にUDLDをサポートしていません。ただし、CLIには、これを有効にするコマンドが含まれています。これらの製品は、UDLDがエラーで有効になっている場合にのみ脆弱性が存在する可能性があります。このような場合は、UDLDを無効にして、この脆弱性の影響を完全に排除することをお勧めします。

このアドバイザリの「修正済みソフトウェア」セクションを参照して、この公開時点で脆弱性が存在していたシスコソフトウェアリリースに関する情報を確認してください。最も完全で最新の情報については、このアドバイザリの上部にあるバグ ID の詳細セクションを参照してください。

該当デバイスのUDLD機能のステータスの確認

脆弱性が存在するソフトウェアリリースを実行し、UDLD機能が有効になっているデバイスは、この脆弱性の影響を受けます。次のサブセクションでは、UDLD機能が有効になっているかどうかを判断する方法について詳しく説明します。

Cisco FXOSソフトウェアおよびUCSファブリックインターコネクト

デバイスでUDLD機能が有効になっているかどうかを確認するには、デバイスのCLIでscope orgコマンドを使用し、続いてshow udld-link-policyコマンドを使用します。このコマンド出力では、デフォルトおよび手動で設定されたUDLDリンクポリシーの[Admin State] で[Enabled] または[Disabled] が表示されます。次の例は、UDLDが無効になっているデバイスでのコマンド出力を示しています。

fxos# scope org

fxos# show udld-link-policy

UDLD link policy:

Name       Admin State UDLD mode

---------- ----------- ---------

default       Disabled    Normal

Cisco NX-OS ソフトウェア

デバイスでUDLD機能が有効になっているかどうかを確認するには、show running-config | include "feature udld"コマンドを使用します。コマンドが出力を返す場合、udld機能がデバイスに設定されます。次の例は、UDLDが有効になっているデバイスでのコマンド出力を示しています。

nxos# show running-config | include "feature udld"

feature udld

脆弱性を含んでいないことが確認された製品

このアドバイザリの脆弱性のある製品セクションにリストされている製品だけがこの脆弱性の影響を受けることが知られています。

シスコは、この脆弱性が以下のシスコ製品には影響を与えないことを確認しました。

- Firepower 1000 シリーズ

- Firepower 2100 シリーズ

- VMware vSphere 向け Nexus 1000 Virtual Edge

- Nexus 1000V Switch for Microsoft Hyper-V

- Nexus 1000V Switch for VMware vSphere

- Nexus 9000 シリーズ ファブリック スイッチ（アプリケーション セントリック インフラストラクチャ（ACI）モード）

回避策

この脆弱性に対処する回避策はありません。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する際には、シスコ セキュリティ アドバイザリ ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性とアップグレード ソリューション一式を確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成は新規リリースでも継続して適切なサポートが受けられることを確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

Cisco FXOS ソフトウェア

発行時点では、次の表のリリース情報が正確でした。最も完全で最新の情報については、このアドバイザリの上部にあるバグ ID の詳細セクションを参照してください。

左側の列にはシスコソフトウェアリリースが一覧表示され、右側の列には、このアドバイザリに記載されている脆弱性の影響を受けたリリースと、この脆弱性に対する修正が含まれているリリースが表示されます。

Firepower 4100シリーズおよびFirepower 9300セキュリティアプライアンス

Cisco FXOS ソフトウェア リリース

この脆弱性に対する最初の修正リリース

2.8 より前

修正済みリリースへの移行^1

2.8

2.8.1.1431

2.9

2.9.1.1351

1. Firepower 4100/9300製品は正式にUDLDをサ ポートしていません。ただし、CLIには、これを有効にするコマンドが含まれています。これらの製品は、UDLDがエラーで有効になっている場合にのみ脆弱性が存在する可能性があります。このような場合は、UDLDを無効にして、この脆弱性の影響を完全に排除することをお勧めします。

Cisco NX-OS ソフトウェア

お客様が Cisco NX-OS ソフトウェアの脆弱性による侵害の可能性を判断できるよう、シスコでは Cisco Software Checker を提供しています。このツールにより、特定の Cisco NX-OS ソフトウェアリリースに該当するシスコ セキュリティアドバイザリ、および各アドバイザリで説明されている脆弱性が修正された最初のリリース（「First Fixed」）を特定できます。 また該当する場合、すべてのアドバイザリに記載されたすべての脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。

お客様は、Cisco Software Checker を使用して次の方法でアドバイザリを検索できます。

- ソフトウェア、プラットフォーム、および 1 つ以上のリリースを選択する

- 特定のリリースのリストを含む .txt ファイルをアップロードする

- show version コマンドの出力を入力する

検索を開始した後で、すべてのシスコ セキュリティ アドバイザリまたは 1 つ以上の特定のアドバイザリが含まれるように検索をカスタマイズできます。

また、次のフォームを使用して、Cisco NX-OS ソフトウェアとプラットフォームを選択、およびリリースを入力することで（例：Cisco Nexus 3000 シリーズ スイッチの 7.0(3)I7(5) 、ACI モードの Cisco NX-OS ソフトウェアの 14.0(1h)）、シスコ セキュリティ アドバイザリの対象となるリリースであるかを判断することもできます。

Cisco NX-OS ソフトウェア ACI モードの Cisco NX OS ソフトウェア MDS 9000 シリーズ マルチレイヤ スイッチ Nexus 1000V シリーズ スイッチ Nexus 3000 シリーズ スイッチ Nexus 5000 シリーズ スイッチ Nexus 6000 シリーズ スイッチ Nexus 7000 シリーズ スイッチ Nexus 9000 シリーズ スイッチ

デフォルトでは、Cisco Software Checker の結果には、Security Impact Rating（SIR）が「重大」または「高」の脆弱性だけが含まれます。 「中間」の SIR 脆弱性の結果を含めるには、Cisco Software Checker を使用して、検索をカスタマイズするときに [影響の評価（Impact Rating）] ドロップダウンリストの [中間（Medium）] チェックボックスをオンにします。

Cisco Nexus 3000および9000シリーズスイッチSMU

Cisco Nexus 3000および9000シリーズスイッチでは、SMUはCisco NX-OSソフトウェアで使用できます。次の SMU を Cisco.com の Software Center からダウンロードできます。

- リリース7.0(3)I7(8):nxos.CSCvv78238-n9k_ALL-1.0.0-7.0.3.I7.8.lib32_n9000.rpm

- リリース7.0(3)I7(9):nxos.CSCvv78238-n9k_ALL-1.0.0-7.0.3.I7.9.lib32_n9000.rpm

Cisco Nexus 3000および9000シリーズスイッチ用Cisco NX-OSソフトウェアでのSMUのダウンロードとインストールの詳細については、該当するCisco NX-OSシステム管理設定ガイドの「ソフトウェアメンテナンスアップグレードの実行」の項を参照してください。

- Cisco Nexus 3000 Series Switches

- Cisco Nexus 9000 Series Switches

最も完全で最新の情報については、このアドバイザリの上部にあるバグ ID の詳細セクションを参照してください。

Cisco Nexus 7000 シリーズ スイッチの SMU

Cisco Nexus 7000シリーズスイッチでは、SMUはCisco NX-OSソフトウェアリリース8.2(6)で使用できます。 次の SMU を Cisco.com の Software Center からダウンロードできます。

- n7000-s2-dk9.8.2.6.CSCvx15395.bin

- n7700-s2-dk9.8.2.6.CSCvx15395.bin

Cisco Nexus 7000 シリーズ スイッチ向け Cisco NX-OS ソフトウェアにおける SMU のダウンロードとインストールの詳細については、『Cisco Nexus 7000 Series NX-OS System Management Configuration Guide』の「Performing Software Maintenance Upgrades」を参照してください。

最も完全で最新の情報については、このアドバイザリの上部にあるバグ ID の詳細セクションを参照してください。

Cisco UCS ソフトウェア

発行時点では、次の表のリリース情報が正確でした。最も完全で最新の情報については、このアドバイザリの上部にあるバグ ID の詳細セクションを参照してください。

左側の列にはシスコソフトウェアリリースが一覧表示され、右側の列には、このアドバイザリに記載されている脆弱性の影響を受けたリリースと、この脆弱性に対する修正が含まれているリリースが表示されます。

UCS 6200、6300、および 6400 シリーズ ファブリック インターコネクト

Cisco UCS ソフトウェアリリース

この脆弱性に対する最初の修正リリース

4.0 より前

修正済みリリースに移行します。

4.0

4.0(4l)

4.1

4.1(2c)

関連情報

Cisco Nexus スイッチに最適な Cisco NX-OS ソフトウェアリリースの決定に際してサポートが必要な場合は、以下の推奨リリースに関するドキュメントを参照してください。セキュリティ アドバイザリでより新しいリリースが推奨されている場合は、そのアドバイザリのガイダンスに従うことをお勧めします。

Cisco MDS シリーズ スイッチ

Vmware スイッチ向け Cisco Nexus 1000V

Cisco Nexus 3000 Series Switches

Cisco Nexus 5500 プラットフォーム スイッチ

Cisco Nexus 5600 プラットフォームスイッチ

Cisco Nexus 6000 Series Switches

Cisco Nexus 7000 Series Switches

Cisco Nexus 9000 Series Switches

ACI モードの Cisco Nexus 9000 シリーズ スイッチ

Cisco UCS ソフトウェアに最適なリリースを確認するには、デバイスのリリースノートに記載されている推奨リリースに関するドキュメントを参照してください。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例やその公表を確認していません。

出典

この脆弱性は、Cisco TAC のサポート ケースの解決中に発見されました。

URL

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nxos-udld-rce-xetH6w35

改訂履歴

バージョン

説明

セクション

ステータス

Date

1.0

初回公開リリース

—

最終版

2021年2月24日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。