Cisco IOS XE ソフトウェアのインターネット キー エクスチェンジ バージョン 1 におけるサービス妨害（DoS）の脆弱性

この脆弱性は、Cisco IOS XE ソフトウェアの脆弱性が存在するリリースを実行し、IKEv1 VPN が有効になっている、以下のシスコ製品に影響を与えます。

• 1000 シリーズ サービス統合型ルータ（ISR）
• 4000 シリーズ ISR
• Catalyst 8200 シリーズ エッジ プラットフォーム
• Catalyst 8300 シリーズ エッジ プラットフォーム
• Catalyst 8500 シリーズ エッジ プラットフォーム
• Catalyst 8500L シリーズ エッジ プラットフォーム

以下の機能は、IKEv1 を使用するように設定されている場合、この脆弱性の影響を受けます。

• Dynamic Multipoint VPN（DMVPN）
• リモートアクセス IPsec VPN（RAVPN）
• サイト間 VPN（S2S VPN）

注：Cisco Group Encrypted Transport VPN（GET VPN）および SSL VPN は、IPsec セッションの確立に IKEv1 を使用しないため、この脆弱性の影響を受けません。

脆弱性が存在する Cisco ソフトウェアリリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。

デバイス設定の確認

1. IKE（v1 または v2）が有効になっているかどうかの確認

IKE 処理が有効になっているかどうかを確認するには、デバイスの CLI で show ip socket | include 500 または show udp | include 500 EXEC コマンドを使用します。UDP ポート 500 または UDP ポート 4500 がデバイスで開いている場合、そのデバイスは IKE パケットを処理しています。

注：UDP ポート 500 または 4500、あるいはその両方は、IKEv1 と IKEv2 のどちらが有効になっているかに関係なく、両方とも同じポート番号とプロトコル番号を使用するため、オープンになります。

以下に、UDP ポート 500 および 4500 で IPv4 または IPv6 のいずれかを使用して IKE パケットを処理しているデバイスでの show udp | include 500 コマンドの出力例を示します。

Router#show udp | include 500
 17       --listen--          192.168.1.10      500   0   0 2001011   0 
 17(v6)   --listen--          --any--           500   0   0 2020011   0 
 17       --listen--          192.168.1.10     4500   0   0 2001011   0 
 17(v6)   --listen--          --any--          4500   0   0 2020011   0 

このコマンドで空の出力が返される場合、デバイスはこの脆弱性の影響を受けません。統合されていない場合は、ステップ 2 に進んでください。

2. IKEv1 が使用されているかどうかの確認

IKEv1 がデバイスでアクティブに使用されているかどうかを確認するには、デバイスの CLI で show crypto map EXEC コマンドを使用します。クリプトマップでは IKEv2 プロファイルが関連付けられていない場合、IKEv1 を使用します。クリプトマップを使用しているインターフェイスが少なくとも 1 つある場合、そのクリプトマップはアクティブです。

以下に、IKEv1 を使用するように設定され（IKEv2 Profile がリストされていないため）、インターフェイス GigabitEthernet1 で有効化されているクリプトマップ CMAP1 があるデバイスでの show crypto map コマンドの出力例を示します。

Router1#show crypto map
Crypto Map IPv4 "CMAP1" 10 ipsec-isakmp
        Peer = 192.168.1.100
        Access-List SS dynamic: False
        Extended IP access list 120
            access-list 110 permit ip 192.168.11.0 0.0.0.255 192.168.12.0 0.0.0.255
        Current peer: 192.168.1.100
        Security association lifetime: 4608000 kilobytes/3600 seconds
        Dualstack (Y/N): N

        Responder-Only (Y/N): N
        PFS (Y/N): N
        Mixed-mode : Disabled
        Transform sets={ 
                AESSET:  { esp-256-aes esp-sha256-hmac  } , 
        }
        Interfaces using crypto map CMAP1:
                GigabitEthernet1


Router1#

このデバイスは、この脆弱性の影響を受けます。

以下に、IKEv2 を使用するように設定され（IKEv2 Profile がリストされているため）、インターフェイス GigabitEthernet2 で有効化されているクリプトマップ CMAP2 があるデバイスでの show crypto map コマンドの出力例を示します。

Router2#show crypto map
Crypto Map IPv4 "CMAP2" 10 ipsec-isakmp
        Peer = 192.168.1.200
        IKEv2 Profile: profile1
        Access-List SS dynamic: False
        Extended IP access list 120
            access-list 120 permit ip 192.168.21.0 0.0.0.255 192.168.22.0 0.0.0.255
        Current peer: 192.168.1.200
        Security association lifetime: 4608000 kilobytes/3600 seconds
        Dualstack (Y/N): N

        Responder-Only (Y/N): N
        PFS (Y/N): N
        Mixed-mode : Disabled
        Transform sets={ 
                AESSET:  { esp-256-aes esp-sha256-hmac  } , 
        }
        Interfaces using crypto map CMAP2:
                GigabitEthernet2


Router2#

デバイスに設定されているクリプトマップがこのクリプトマップのみである場合、このデバイスはこの脆弱性の影響を受けません。

このアドバイザリの脆弱性のある製品セクションにリストされている製品だけがこの脆弱性の影響を受けることが知られています。

シスコは、この脆弱性が以下のシスコ製品には影響を与えないことを確認しました。

• IOS ソフトウェア
• 「脆弱性のある製品」セクションにリストされているデバイス以外のデバイスで実行されている IOS XE ソフトウェア
• IOS XR ソフトウェア
• Meraki 製品
• NX-OS ソフトウェア