High
High
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Catalyst 9000シリーズスイッチ用Cisco IOS XEソフトウェアの特定のイーサネットフレームの処理における脆弱性により、認証されていない隣接する攻撃者が出力ポートをブロックさせ、すべての発信トラフィックをドロップする可能性があります。
この脆弱性は、巧妙に細工されたイーサネットフレームの不適切な処理に起因します。攻撃者は、該当スイッチを介して巧妙に細工されたイーサネットフレームを送信することにより、この脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者は、巧妙に細工されたフレームの転送先である出力ポートですべてのフレームの廃棄を開始させ、その結果サービス拒否(DoS)状態を引き起こす可能性があります。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cat9k-PtmD7bgy
このアドバイザリは、2025 年 9 月に公開された Cisco IOS および IOS XE ソフトウェア セキュリティ アドバイザリ バンドルの一部です。アドバイザリとリンクの一覧については、『Cisco Event Response: September 2025 Semiannual Cisco IOS and IOS XE Software Security Advisory Bundled Publication』を参照してください。
該当製品
脆弱性のある製品
この脆弱性は、Cisco IOS XEソフトウェアの脆弱性が存在するリリースを実行し、トランクポート、Cisco TrustSec対応ポート、またはMACSec対応ポートが有効になっている次のCisco Catalyst 9000スイッチングファミリプラットフォームに影響を与えます。
- Catalyst 9200 シリーズ スイッチ
- Catalyst 9300 シリーズ スイッチ
- Catalyst 9400 シリーズ スイッチ
- Catalyst 9500 シリーズ スイッチ
- Catalyst 9600 シリーズ スイッチ
Cisco Meraki CS 17.2.2 より前のソフトウェアを実行している Cisco Meraki MS390 および Cisco Catalyst 9300 シリーズ スイッチが影響を受けます。リリース 17.15.4 より前の Cisco IOS XE ソフトウェアリリースを実行している Catalyst ワイヤレス LAN コントローラのクラウド管理型ハイブリッド動作モードも影響を受けます。これは、Cisco IOS XE ソフトウェアリリース 17.15.4 で修正されています。
脆弱性が存在する Cisco ソフトウェアリリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。
デバイス設定の確認
デバイスでトランクポートが有効になっているかどうかの確認
デバイスでトランクポートが有効になっているかどうかを確認するには管理者特権を使用してデバイスの CLI に接続し、show running-config | include switchport mode trunk|dynamic|dot1q-tunnel コマンドを使用します。次の例に示すように、出力が返される場合、デバイスは影響を受けます。
Switch#show running-config | include switchport mode trunk|dynamic|dot1q-tunnel
switchport mode trunk
Switch#
デバイスに Cisco TrustSec 対応ポートがあるかどうかの確認
デバイスに Cisco TrustSec 対応ポートがあるかどうかを確認するには、管理者権限を使用してデバイスの CLI に接続し、show running-config | include cts manual コマンドを使用します。次の例に示すように、出力が返される場合、デバイスは影響を受けます。
Switch#show running-config | include cts manual
cts manual
Switch#
デバイスに MACsec 対応ポートがあるかどうかの確認
デバイスに MACsec 対応ポートがあるかどうかを確認するには、管理者権限を使用してデバイスの CLI に接続し、show macsec summary コマンドを使用します。次の例に示すように、返される出力にインターフェイスが含まれる場合、デバイスは影響を受けます。
Switch#show macsec summary
Interface Transmit SC Receive SC
Gi1/0/1 0 0
Switch#
脆弱性を含んでいないことが確認された製品
このアドバイザリの脆弱性のある製品セクションにリストされている製品だけがこの脆弱性の影響を受けることが知られています。
シスコは、この脆弱性が以下のシスコ製品には影響を与えないことを確認しました。
- Catalyst 9800 シリーズ ワイヤレス コントローラ
- IE9300 高耐久性シリーズ スイッチ
- IOS ソフトウェア
- IOS XR ソフトウェア
- NX-OS ソフトウェア
詳細
特定の巧妙に細工されたイーサネットフレームの処理により、影響を受けるポートの出力ポートの FIFO キューがスタック状態になる可能性があります。その結果、次の例に示すように、ポートですべてのアウトバウンドトラフィックがドロップされます。
Switch#show interfaces tenGigabitEthernet 6/0/1 | include Total output drops
Input queue: 0/375/0/0 (size/max/drops/flushes); Total output drops: 461992
Switch#
コマンドを複数回繰り返すと、Total output drops が継続的に増加します。これは、トラフィックがインターフェイスを介して転送されていないことを示します。
この状態から回復するには、まず巧妙に細工されたフレームの送信元を特定します。次に、そのデバイスを削除するか、または VLAN か MAC ACL を使用してブロックします。巧妙に細工されたフレームの送信元が削除されたら、デバイスをリロードします。これがデバイスを回復する唯一の方法です。
回避策
この脆弱性に対処する回避策はありません。
修正済みソフトウェア
シスコでは、回避策や緩和策は、修正済みソフトウェアリリースへのアップグレードが利用可能になるまでの一時的な解決策であると考えています。この脆弱性を完全に修正し、本アドバイザリに記載されているような将来のリスクを回避するために、シスコでは、本アドバイザリに記載されている修正済みソフトウェアにアップグレードすることを強く推奨します。
Cisco IOS および IOS XE ソフトウェア
お客様が Cisco IOS および IOS XE ソフトウェアの脆弱性による侵害の可能性を判断できるように、シスコは Cisco Software Checker を提供しています。このツールを使うことで、特定のソフトウェアリリースに関連するすべてのシスコ セキュリティ アドバイザリを検索でき、それぞれのアドバイザリで言及された脆弱性を修正した最初のリリース（「First Fixed」）を特定できます。 また、該当する場合には、Software Checker により判別されたすべてのアドバイザリに記載のすべての脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。
このツールを使用するには、「Cisco Software Checker」ページの手順に従います。あるいは、次のフォームを使用して、シスコ セキュリティ アドバイザリに該当するリリースであるかどうかを確認します。このフォームを使用するには、次の手順に従います。
- ツールで検索するアドバイザリを選択します。このアドバイザリのみ、セキュリティ影響評価（SIR）が「重大」または「高」のアドバイザリのみ、すべてのアドバイザリのいずれかです。
- リリース番号（例：15.9(3)M2、17.3.3）を入力します。
- [チェック（Check）] をクリックします。
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。
出典
この脆弱性は Cisco Cisco Technical Assistance Center（TAC）サポートケースの解決中に発見されました。
URL
改訂履歴
| バージョン | 説明 | セクション | ステータス | 日付 |
|---|---|---|---|---|
| 1.1 | 最初の文を更新して、機能情報を明確にしました。 | 脆弱性が存在する製品 | Final | 2025年9月30日 |
| 1.0 | 初回公開リリース | — | Final | 2025年9月30日 |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。