Medium

アドバイザリーID : cisco-sa-iosxr-redis-ABJyE5xK

初公開日 : 2022-05-20 16:00

最終更新日 : 2022-06-01 13:59

バージョン 1.1 : Final

CVSSスコア : 6.5

回避策 : Yes

Cisco バグ ID : CSCwb82689

CVE-2022-20821

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco IOS XRソフトウェアのヘルスチェックRPMの脆弱性により、認証されていないリモートの攻撃者が、NOSiコンテナ内で実行されているRedisインスタンスにアクセスできる可能性があります。

この脆弱性は、ヘルスチェックRPMがデフォルトでアクティベーション時にTCPポート6379を開くことによって発生します。攻撃者は、オープンポートでRedisインスタンスに接続することにより、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者はRedisのインメモリデータベースへの書き込み、コンテナファイルシステムへの任意のファイルの書き込み、およびRedisデータベースに関する情報の取得を行う可能性があります。Redisインスタンスが実行されているサンドボックス化されたコンテナの設定を考えると、リモート攻撃者はリモートコードを実行できず、Cisco IOS XRソフトウェアホストシステムの整合性を悪用できません。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。本脆弱性に対処する回避策がいくつかあります。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-redis-ABJyE5xK

該当製品

脆弱性のある製品

この脆弱性は、Cisco 8000シリーズルータでCisco IOS XRソフトウェアの脆弱性が存在するリリースを実行していて、ヘルスチェックRPMがインストールされてアクティブになっている場合に、公開時点で影響を受けました。

公開時点で脆弱性が確認されている Cisco ソフトウェアのリリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。最も完全で最新の情報については、このアドバイザリの上部にあるバグ ID の詳細セクションを参照してください。

デバイス設定の確認

デバイスが脆弱な状態かどうかを確認するには、run docker ps CLIコマンドを発行します。次の例に示すように、出力がNOSiという名前のDockerコンテナを返す場合、そのデバイスは脆弱であると見なされます。

RP/0/RP0/CPU0:8000#run docker ps

Wed May 18 04:54:52.502 UTC

CONTAINER ID    IMAGE         COMMAND                 CREATED          STATUS       PORTS  NAMES

54307e434f29    nosi:latest   "docker-entrypoint.s…"  9 seconds ago    Up 8 seconds        NOSi

RP/0/RP0/CPU0:8000#

脆弱性を含んでいないことが確認された製品

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この脆弱性の影響を受けることが分かっています。

回避策

この脆弱性に対処する回避策は次のとおりです。

オプション1:これは推奨される方法です。ヘルスチェックを無効にし、ユースケースを明示的に無効にします。

ヘルスチェックを効果的に無効にするには、次のコマンドを正確に入力します。

RP/0/RP0/CPU0:8000(config)#no healthcheck enable

RP/0/RP0/CPU0:8000(config)#healthcheck use-case asic-reset disable

RP/0/RP0/CPU0:8000(config)#healthcheck use-case packet-drop disable

RP/0/RP0/CPU0:8000(config)#commit

RP/0/RP0/CPU0:8000#

次に、デバイスからヘルスチェックRPMを削除します。

RP/0/RP0/CPU0:8000#install package remove xr-healthcheck

Wed May 18 05:00:08.060 UTCInstall remove operation 5.2.2 has started

Install operation will continue in the background

RP/0/RP0/CPU0:8000#

RP/0/RP0/CPU0:8000#install apply restart

Wed May 18 05:01:08.842 UTC

Install apply operation 5.2 has started

Install operation will continue in the background

RP/0/RP0/CPU0:8000#

オプション2:インフラストラクチャアクセスコントロールリスト(iACL)を使用してポート6379をブロックします。

インフラストラクチャデバイスを保護し、インフラストラクチャへの直接攻撃のリスク、影響、および効果を最小限に抑えるために、インフラストラクチャ機器に送信されるトラフィックに対してポリシーを適用するインフラストラクチャアクセスコントロールリスト(iACL)を展開することをお勧めします。iACL は、既存のセキュリティ ポリシーと設定に基づいて、インフラストラクチャ デバイス宛ての正当なトラフィックのみを明示的に許可することによって構築されます。インフラストラクチャ デバイスの保護を最大にするには、IP アドレスが設定されているすべてのインターフェイスの入力方向で配備済みの iACL を適用する必要があります。iACLによる回避策では、信頼できる送信元アドレスから攻撃が発信された場合に、この脆弱性に対する完全な保護を提供することはできません。

iACLポリシーは、該当するデバイスに送信されるTCPポート6379の不正なRedis通信パケットを拒否します。次の例では、192.168.60.0/24が該当デバイスによって使用されるIPアドレス空間です。許可されていないすべてのトラフィックを拒否する前に、ルーティングおよび管理アクセスに必要なトラフィックを許可するように注意する必要があります。インフラストラクチャのアドレス レンジは、できるだけユーザおよびサービス セグメントに使用されるアドレス レンジとは別個にする必要があります。このようにアドレスを設定することで、iACL の構築と配備が容易になります。

ipv4 access-list Infrastructure-ACL-Policy

!

!-- The following vulnerability-specific access control entries

!-- (ACEs) can drop Redis Database communication packets

!

deny tcp any 192.168.60.0 0.0.0.255 eq 6379

!

!-- Explicit deny ACE for traffic sent to addresses configured

!-- within the infrastructure address space

!

deny ip any 192.168.60.0 0.0.0.255

!

!-- Permit or deny all other Layer 3 and Layer 4 traffic in

!-- accordance with existing security policies and configurations

!

!-- Apply iACL to interfaces in the ingress direction

!

interface GigabitEthernet0/0

ipv4 access-group Infrastructure-ACL-Policy in

iACLについての詳細は、『コアの保護：インフラストラクチャ保護ACL』を参照してください。

これらの回避策は導入されており、テスト環境では実証済みですが、お客様は、ご使用の環境および使用条件において適用性と有効性を判断する必要があります。また、導入されている回避策または緩和策が、お客様固有の導入シナリオおよび制限に基づいて、ネットワークの機能やパフォーマンスに悪影響を及ぼす可能性があることに注意してください。回避策や緩和策は、ご使用の環境への適用性と環境への影響を評価した後で導入してください。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する際には、シスコ セキュリティ アドバイザリ ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性とアップグレード ソリューション一式を確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

修正済みリリース

発行時点では、次の表に記載されているリリース情報は正確でした。 最も完全で最新の情報については、このアドバイザリの上部にあるバグ ID の詳細セクションを参照してください。

Cisco IOS XRリリース

First Fixed Release（修正された最初のリリース）

7.2 以前

Not affected

7.3.15、7.3.16、7.3.1、7.3.2

Not affected

7.3.3

SMU ID:8000-7.3.3.CSCwb82689および7.3.4

7.4

Not affected

7.5.1

Not affected

7.5.2

Not affected

7.6

Not affected

Product Security Incident Response Team（PSIRT; プロダクト セキュリティ インシデント レスポンス チーム）は、このアドバイザリに記載されている該当するリリース情報と修正されたリリース情報のみを検証します。

不正利用事例と公式発表

2022年5月、Cisco PSIRTは野生でこの脆弱性の不正利用が試みられていることを認識しました。この脆弱性を修正するには、適切な回避策を適用するか、修正済みソフトウェアリリースにアップグレードすることを強く推奨します。

出典

この脆弱性は Cisco TAC サポートケースの解決中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-redis-ABJyE5xK

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.1

「修正済みソフトウェア」セクションにSMUを追加

修正済みソフトウェア

Final

2022 年 6 月 1 日

1.0

初回公開リリース

-

Final

2022年5月20日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。