Cisco IOS、IOS XE、および IOS XR ソフトウェアの SNMP サービス妨害（DoS）の脆弱性

Cisco IOS ソフトウェア、Cisco IOS XE ソフトウェア、および Cisco IOS XR ソフトウェアの Simple Network Management Protocol（SNMP）サブシステムにおける複数の脆弱性により、認証されたリモートの攻撃者が該当するデバイスでサービス妨害（DoS）状態を引き起こす可能性があります。

これらの脆弱性の詳細については本アドバイザリの「詳細情報」セクションを参照してください。 

シスコでは、これらの脆弱性に対処するソフトウェアアップデートをリリースする予定です。これらの脆弱性に対処する回避策はありません。これらの脆弱性に対処するための軽減策があります。

このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-snmp-dos-sdxnSUcW

これらの脆弱性は依存関係にはなく、いずれかの脆弱性をエクスプロイトするために別の脆弱性をエクスプロイトする必要はありません。さらに、いずれかの脆弱性の影響を受けるソフトウェアリリースであっても、他の脆弱性の影響は受けない場合があります。

脆弱性の詳細は以下のとおりです。

CVE-2025-20169、CVE-2025-20170、CVE-2025-20171、CVE-2025-20173、CVE-2025-20174、CVE-2025-20175、CVE-2025-20176：Cisco IOS および IOS XE ソフトウェアの SNMP ソフトウェアサービス妨害（DoS）の脆弱性

Cisco IOS ソフトウェアおよび Cisco IOS XE ソフトウェアの SNMP サブシステムにおける複数の脆弱性により、認証されたリモートの攻撃者が該当するデバイスでサービス妨害（DoS）状態を引き起こす可能性があります。

これらの脆弱性は、SNMP リクエストを解析するときのエラー処理が適切でないことに起因します。攻撃者は、巧妙に細工された SNMP 要求を該当するデバイスに送信することで、これらの脆弱性を不正利用する可能性があります。エクスプロイトに成功すると、攻撃者はデバイスの予期しないリロードを引き起こすことが可能になり、結果として DoS 状態が発生する可能性があります。 

これらの脆弱性は、SNMP バージョン 1、2c、および 3 に影響します。SNMP v2c またはそれ以前のバージョンでこれらの脆弱性を不正利用するには、攻撃者が該当するシステムの有効な読み取り/書き込みまたは読み取り専用 SNMP コミュニティストリングを把握している必要があります。SNMP v3 でこれらの脆弱性を不正利用するには、攻撃者は該当するシステムの有効な SNMP ユーザーログイン情報を入手している必要があります。

シスコでは、これらの脆弱性に対処するソフトウェアアップデートをリリースする予定です。これらの脆弱性に対処する回避策はありません。これらの脆弱性に対処するための軽減策があります。

バグ ID：CSCwm79581、CSCwm79554、CSCwm79564、CSCwm79590、CSCwm79570、 CSCwm79596、CSCwm79577
CVE ID：CVE-2025-20169、CVE-2025-20170、CVE-2025-20171、CVE-2025-20173、CVE-2025-20174、CVE-2025-20175、CVE-2025-20176 
セキュリティ影響評価（SIR）：高
CVSS ベーススコア：7.7
CVSS ベクトル：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H

CVE-2025-20172：Cisco IOS、IOS XE、および IOS XR ソフトウェアの SNMP サービス妨害（DoS）の脆弱性

Cisco IOS ソフトウェア、Cisco IOS XE ソフトウェア、および Cisco IOS XR ソフトウェアの SNMP サブシステムにおける脆弱性により、認証されたリモートの攻撃者が該当するデバイスでサービス妨害（DoS）状態を引き起こす可能性があります。

この脆弱性は、SNMP リクエストを解析するときのエラー処理が適切でないことに起因します。攻撃者は、巧妙に細工された SNMP 要求を該当デバイスに送信することにより、この脆弱性をエクスプロイトする可能性があります。Cisco IOS および IOS XE ソフトウェアの場合、エクスプロイトに成功すると、攻撃者はデバイスの予期しないリロードを引き起こすことが可能になり、結果として DoS 状態が発生する可能性があります。Cisco IOS XR ソフトウェアの場合、エクスプロイトに成功すると、攻撃者は SNMP プロセスを再起動させ、その結果、該当するデバイスからの SNMP 応答が中断される可能性があります。Cisco IOS XR ソフトウェアを実行しているデバイスはリロードされません。 

この脆弱性は、SNMP バージョン 1、2c、および 3 に影響します。SNMP v2c またはそれ以前のバージョンでこの脆弱性を不正利用するには、攻撃者が該当するシステムの有効な読み取り/書き込みまたは読み取り専用 SNMP コミュニティストリングを把握している必要があります。SNMP v3 でこの脆弱性を不正利用するには、攻撃者は該当するシステムの有効な SNMP ユーザーログイン情報を入手している必要があります。

シスコでは、これらの脆弱性に対処するソフトウェアアップデートをリリースする予定です。これらの脆弱性に対処する回避策はありません。これらの脆弱性に対処するための軽減策があります。

Cisco IOS および IOS XE ソフトウェア

バグ ID：CSCwm89600
CVE ID：CVE-2025-20172
セキュリティ影響評価（SIR）：高
CVSS ベーススコア：7.7
CVSS ベクトル：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H

Cisco IOS XR ソフトウェア

バグ ID：CSCwn08493
CVE ID：CVE-2025-20172
セキュリティ影響評価（SIR）：中
CVSS ベーススコア：4.3
CVSS ベクトル：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

これらの脆弱性に対処する回避策はありません。ただし、緩和策はあります。シスコは、修正されたソフトウェアが入手可能になり、アップグレードを実行できるようになるまで、これらの緩和策を実施することを強く推奨します。 

管理者は、デバイスで脆弱なオブジェクト識別子（OID）を無効にできます。すべてのソフトウェアが軽減策に記載されている各 OID をサポートしているわけではありません。OID が特定のソフトウェアに対して有効でない場合、その特定の脆弱性に対して脆弱ではありません。これらの OID を除外すると、ディスカバリやハードウェアインベントリなど、SNMP を介したデバイス管理に影響する可能性があります。

ベストプラクティスとして、SNMP アクセスを信頼できるネットワークデバイスからのみ許可する必要があります。設定オプションについては、「Simple Network Management Protocol の保護」を参照してください。

OID を無効にするには、次の手順を実行します。

1. 標準セキュリティ設定で SNMP ビューを作成します。

snmp-server view SNMP_DOS iso included
snmp-server view SNMP_DOS snmpUsmMIB excluded
snmp-server view SNMP_DOS snmpVacmMIB excluded
snmp-server view SNMP_DOS snmpCommunityMIB excluded

2. 脆弱な OID を SNMP ビューから除外します。

Cisco IOS および IOS XE ソフトウェアの OID

snmp-server view SNMP_DOS ipAddressPrefixEntry.5 excluded
snmp-server view SNMP_DOS ipDefaultRouterEntry.4 excluded
snmp-server view SNMP_DOS tcp.19.1.7 excluded
snmp-server view SNMP_DOS tcp.20.1.4 excluded
snmp-server view SNMP_DOS udp.7.1.8 excluded
snmp-server view SNMP_DOS inetCidrRouteEntry.7 excluded
snmp-server view SNMP_DOS ospfv3AreaAggregateEntry.6 excluded
snmp-server view SNMP_DOS lispMappingDatabaseLocatorRlocPriority excluded
snmp-server view SNMP_DOS mplsVpnInterfaceConfEntry.2 excluded
snmp-server view SNMP_DOS mplsVpnVrfRouteTargetEntry.4 excluded
snmp-server view SNMP_DOS mplsVpnVrfBgpNbrAddrEntry.2 excluded
snmp-server view SNMP_DOS nhrpCachePrefixLength excluded
snmp-server view SNMP_DOS nhrpServerCacheAuthoritative excluded
snmp-server view SNMP_DOS nlmLogEntry.2 excluded
snmp-server view SNMP_DOS nlmLogVariableEntry.2 excluded
snmp-server view SNMP_DOS mplsXCLspId excluded
snmp-server view SNMP_DOS mplsLabelStackLabel excluded
snmp-server view SNMP_DOS cpaeMIBObject.5.1.3 excluded
snmp-server view SNMP_DOS cContextMappingBridgeDomainIdentifier excluded
snmp-server view SNMP_DOS cilmCurrentImageLevel excluded
snmp-server view SNMP_DOS cilmImageLicenseImageLevel excluded
snmp-server view SNMP_DOS cewProxyClass excluded
snmp-server view SNMP_DOS cewEventTime excluded
snmp-server view SNMP_DOS cpwVcPeerMappingVcIndex excluded
snmp-server view SNMP_DOS ciiSummAddrEntry excluded
snmp-server view SNMP_DOS mplsLdpLspFecStorageType excluded
snmp-server view SNMP_DOS mplsL3VpnIfConfEntry.2 excluded
snmp-server view SNMP_DOS mplsL3VpnVrfRTEntry.4 excluded
snmp-server view SNMP_DOS mplsL3VpnVrfRteEntry.7 excluded
snmp-server view SNMP_DOS ciscoFlashChipEntry excluded
snmp-server view SNMP_DOS cbgpPeer2CapValue excluded
snmp-server view SNMP_DOS cbgpPeer2AddrFamilyName excluded
snmp-server view SNMP_DOS cbgpPeer2AcceptedPrefixes excluded
snmp-server view SNMP_DOS callHomeDestEmailAddressEntry.2 excluded
snmp-server view SNMP_DOS callHomeSwInventoryEntry.3 excluded
snmp-server view SNMP_DOS cEigrpActive excluded
snmp-server view SNMP_DOS cipUrpfVrfIfDrops excluded
snmp-server view SNMP_DOS cefPathType excluded
snmp-server view SNMP_DOS cefAdjSource excluded
snmp-server view SNMP_DOS cefFESelectionSpecial excluded
snmp-server view SNMP_DOS cvVrfListVrfIndex excluded
snmp-server view SNMP_DOS ctspIpSgtMappingEntry.5 excluded
snmp-server view SNMP_DOS ciiRedistributeAddrEntry.4 excluded
snmp-server view SNMP_DOS ciiIPRAEntry.5 excluded
snmp-server view SNMP_DOS ciiLSPTLVEntry.2 excluded
snmp-server view SNMP_DOS ccmSeverityAlertGroupEntry.1 excluded
snmp-server view SNMP_DOS ccmPeriodicAlertGroupEntry.1 excluded
snmp-server view SNMP_DOS ccmPatternAlertGroupEntry.2 excluded
snmp-server view SNMP_DOS callHomeUserDefCmdEntry.2 excluded
snmp-server view SNMP_DOS ccmEventAlertGroupEntry.1 excluded
snmp-server view SNMP_DOS cipsStaticCryptomapType excluded
snmp-server view SNMP_DOS ciscoFlashFileEntry.2 excluded

Cisco IOS XR ソフトウェアの OID

snmp-server view SNMP_DOS udp.7.1.8 excluded
snmp-server view SNMP_DOS tcp.19.1.7 excluded
snmp-server view SNMP_DOS tcp.20.1.4 excluded
snmp-server view SNMP_DOS inetCidrRouteEntry.7 excluded
snmp-server view SNMP_DOS ipAddressPrefixEntry.5 excluded
snmp-server view SNMP_DOS ipDefaultRouterEntry.4 excluded
snmp-server view SNMP_DOS 1.3.6.1.2.1.191.1.12.1.6 excluded
snmp-server view SNMP_DOS 1.3.6.1.2.1.92.1.3.1.1.2 excluded
snmp-server view SNMP_DOS 1.3.6.1.2.1.92.1.3.2.1.2 excluded
snmp-server view SNMP_DOS 1.3.6.1.4.1.9.10.106.1.7.1.5 excluded
snmp-server view SNMP_DOS 1.3.6.1.4.1.9.10.106.1.8.1.5 excluded
snmp-server view SNMP_DOS 1.3.6.1.4.1.9.9.171.1.2.2.1.6 excluded
snmp-server view SNMP_DOS 1.3.6.1.4.1.9.9.171.1.2.4.1.7 excluded
snmp-server view SNMP_DOS 1.3.6.1.4.1.9.9.187.1.1.1.1.7 excluded
snmp-server view SNMP_DOS 1.3.6.1.4.1.9.9.187.1.2.6.1.3 excluded
snmp-server view SNMP_DOS 1.3.6.1.4.1.9.9.187.1.2.7.1.3 excluded
snmp-server view SNMP_DOS 1.3.6.1.4.1.9.9.187.1.2.8.1.1 excluded
snmp-server view SNMP_DOS 1.3.6.1.2.1.10.166.4.1.3.10.1.4 excluded
snmp-server view SNMP_DOS 1.3.6.1.4.1.9.10.62.1.2.3.3.1.2 excluded

SNMP v1 または v2c の場合、設定されているすべてのコミュニティストリングにこの設定を適用します。次のコマンドを使用します。

snmp-server community mycomm view SNMP_DOS RO

SNMP v3 の場合、次のコマンドを使用して、設定されているすべての SNMP ユーザーにこれを適用します。

snmp-server group v3group v3 auth read SNMP_DOS write SNMP_DOS

これらの緩和策は導入されており、テスト環境では実証済みですが、お客様は、ご使用の環境および使用条件において適用性と有効性を判断する必要があります。また、導入されている回避策または緩和策が、お客様固有の導入シナリオおよび制限に基づいて、ネットワークの機能やパフォーマンスに悪影響を及ぼす可能性があることに注意してください。回避策や緩和策は、ご使用の環境への適用性と環境への影響を評価した後で導入してください。

シスコでは、このアドバイザリに記載された脆弱性に対処する無償のソフトウェアアップデートをリリースする予定です。通常のソフトウェアアップデートが含まれるサービス契約をお持ちのお客様は、通常のアップデートチャネルからセキュリティ修正を取得する必要があります。

お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットに対してのみとなります。そのようなソフトウェアアップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は以下のリンクに記載されたシスコのソフトウェアライセンスの条項に従うことに同意したことになります。
https://www.cisco.com/c/en/us/products/end-user-license-agreement.html

また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシスコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

Cisco.com の シスコサポート & ダウンロードページには、ライセンスとダウンロードに関する情報が記載されています。このページには、[マイデバイス（My Devices）] ツールを使用するお客様のカスタマーデバイスサポート範囲も表示できます。

ソフトウェアのアップグレードを検討する際には、シスコ セキュリティ アドバイザリ ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

サービス契約をご利用でないお客様

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco TAC（https://www.cisco.com/c/ja_jp/support/web/tsd-cisco-worldwide-contacts.html）に連絡してアップグレードを入手してください。

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

修正済みリリース

次の表では、左の列にシスコソフトウェアのリリースを記載しています。右の列は、リリースがこのアドバイザリに記載されている脆弱性の影響を受けるかどうか、およびこれらの脆弱性に対する修正を含む最初のリリースを示しています。このセクションの表に記載されている適切な修正済みソフトウェアリリースにアップグレードすることをお勧めします。 

IOS および IOS XE ソフトウェア

最新かつ正確な情報については、Cisco IOS および IOS XE ソフトウェアチェッカーを使用してください。

IOS および IOS XE ソフトウェアチェッカー

お客様が Cisco IOS および IOS XE ソフトウェアの脆弱性による侵害の可能性を判断できるように、シスコは Cisco Software Checker を提供しています。このツールを使うことで、特定のソフトウェアリリースに関連するすべてのシスコ セキュリティ アドバイザリを検索でき、それぞれのアドバイザリで言及された脆弱性を修正した最初のリリース（「First Fixed」）を特定できます。 また、該当する場合には、Software Checker により判別されたすべてのアドバイザリに記載のすべての脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。 

このツールを使用するには、「Cisco Software Checker」ページの手順に従います。あるいは、次のフォームを使用して、シスコ セキュリティ アドバイザリに該当するリリースであるかどうかを確認します。このフォームを使用するには、次の手順に従います。

1. ツールで検索するアドバイザリを選択します。このアドバイザリのみ、セキュリティ影響評価（SIR）が「重大」または「高」のアドバイザリのみ、すべてのアドバイザリのいずれかです。
2. リリース番号（例：15.9(3)M2、17.3.3）を入力します。
3. [チェック（Check）] をクリックします。

IOS XR ソフトウェア

最新のリリース情報については、CSCwn08493 を参照してください。

Product Security Incident Response Team（PSIRT; プロダクト セキュリティ インシデント レスポンス チーム）は、このアドバイザリに記載されている該当するリリース情報と修正されたリリース情報のみを検証します。

Cisco PSIRT では、このアドバイザリに記載されている脆弱性のいかなる悪用も認識していません。

シスコは、これらの脆弱性を報告していただいた、Trend Micro 社の Zero Day Initiative に協力されている leg00m 氏に感謝いたします。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。