High
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco IOS ソフトウェア、Cisco IOS XE ソフトウェア、Cisco Secure Firewall 適応型セキュリティアプライアンス（ASA）ソフトウェアおよび Cisco Secure Firewall Threat Defense（FTD）ソフトウェアにおけるインターネット キー エクスチェンジ バージョン 2（IKEv2）機能の脆弱性により、認証されていないリモート攻撃者がメモリリークを引き起こし、影響を受けるデバイスでサービス妨害（DoS）状態を引き起こす可能性があります。
この脆弱性は、IKEv2 パケットの解析が適切でないことに起因します。巧妙に細工された IKEv2 パケットを該当デバイスに送信することで、攻撃者がこの脆弱性をエクスプロイトする可能性があります。Cisco IOS ソフトウェアおよび IOS XE ソフトウェアのエクスプロイトが成功すると、攻撃者は影響を受けるデバイスをリロードさせ、DoS 状態を引き起こす可能性があります。Cisco Secure Firewall ASA ソフトウェアおよび Cisco Secure FTD ソフトウェアのエクスプロイトが成功すると、攻撃者はシステムメモリを部分的に枯渇させることができるため、新しい IKEv2 VPN セッションの確立が不能になるなど、システムが不安定になる可能性があります。この状態から回復するには、デバイスを手動で再起動する必要があります。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asa-ftd-ios-dos-kPEpQGGK
このアドバイザリは、2026 年 3 月の Cisco IOS および IOS XE ソフトウェア セキュリティ アドバイザリ バンドル公開リリースの一部です。これらのアドバイザリとリンクの一覧については、『Cisco Event Response: March 2026 Semiannual Cisco IOS and IOS XE Software Security Advisory Bundled Publication』を参照してください。
該当製品
脆弱性のある製品
この脆弱性は、G-IKEv2 を含む IKEv2 VPN 機能が有効になっている場合、次のシスコ製品に影響します。
- IOS ソフトウェア
- IOS XE ソフトウェア
- Cisco Secure Firewall ASA ソフトウェア
- Cisco Secure FTD ソフトウェア
脆弱性が存在する Cisco ソフトウェアリリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。
Cisco IOS ソフトウェアまたは IOS XE ソフトウェアを実行しているデバイスの IKEv2 設定の確認方法
Cisco IOS ソフトウェアまたは IOS XE ソフトウェアを実行しているデバイスで IKEv1 または IKEv2 が有効かどうか、さらにデバイスで IKEv2 がアクティブに使用されているかどうかを確認するには、次の 2 段階の手順を実行してください。
ステップ 1：IKE（v1 または v2）が有効になっているかどうかの確認
デバイスで IKE 処理が有効かどうかを確認するには、CLI で show ip socket | include 500 または show udp | include 500 EXEC コマンドを使用してください。デバイスで UDP ポート 500 または 4500 が開いている場合、デバイスは IKE パケットを処理しています。
注：IKEv1 または IKEv2 が有効になっている場合、これらのプロトコルはともに UDP ポート 500、4500 を使用するため、UDP ポート 500、4500、またはその両方のポートは開いています。
以下は、IPv4 または IPv6 のいずれかでリッスンしている UDP ポート 500 および 4500 上で IKE パケットを処理しているデバイスでの show udp | include 500 コマンドの出力例を示しています。
Router#show udp | include 500
17 --listen-- 192.168.1.10 500 0 0 2001011 0
17(v6) --listen-- --any-- 500 0 0 2020011 0
17 --listen-- 192.168.1.10 4500 0 0 2001011 0
17(v6) --listen-- --any-- 4500 0 0 2020011 0
このコマンドで空の出力が返される場合、デバイスはこの脆弱性の影響を受けません。コマンドが出力を返した場合は、手順 2 に進みます。
ステップ 2IKEv2 が使用されているかどうかの確認方法
デバイスで IKEv2 がアクティブに使用されているかどうかを確認するには、デバイスの CLI で show crypto map EXEC コマンドを使用してください。クリプトマップに IKEv2 プロファイル が関連付けられている場合、IKEv2 が使用されます。少なくとも 1 つのインターフェイスで暗号マップが使用されている場合、そのマップはアクティブです。
IKEv2 パケットを処理しているデバイスの場合、show crypto map コマンドの出力は次のようになります。出力では、暗号マップの CMAP2 が IKEv2 Profile の profile1 を使用するように設定され、GigabitEthernet2 インターフェイスで有効になっています。
Router2#show crypto map
Crypto Map IPv4 "CMAP2" 10 ipsec-isakmp
Peer = 192.168.1.200
IKEv2 Profile: profile1
Access-List SS dynamic: False
Extended IP access list 120
access-list 120 permit ip 192.168.21.0 0.0.0.255 192.168.22.0 0.0.0.255
Current peer: 192.168.1.200
Security association lifetime: 4608000 kilobytes/3600 seconds
Dualstack (Y/N): N
Responder-Only (Y/N): N
PFS (Y/N): N
Mixed-mode : Disabled
Transform sets={
AESSET: { esp-256-aes esp-sha256-hmac } ,
}
Interfaces using crypto map CMAP2:
GigabitEthernet2
Router2#
このデバイスは、この脆弱性の影響を受けます。
Cisco Secure Firewall ASA ソフトウェアまたは Cisco Secure FTD ソフトウェアを実行しているデバイスの IKEv2 設定の確認方法
Cisco Secure Firewall ASA ソフトウェアまたは Cisco Secure FTD ソフトウェアを実行しているデバイスで IKEv2 が有効になっているかどうかを確認するには、show running-config crypto ikev2 | include enable CLI コマンドを使用してください。コマンドが出力を返した場合、IKEv2 は少なくとも 1 つのインターフェイスで有効になっています。以下に、outside インターフェイスで IKEv2 が有効になっているデバイスでの show running-config crypto ikev2 | include enable コマンドの出力例を示します。
firewall# show running-config crypto ikev2 | include enable
crypto ikev2 enable outside client-services port 443
このデバイスは、この脆弱性の影響を受けます。
show running-config crypto ikev2 | include enable コマンドが空の出力を返す場合、デバイスはこの脆弱性の影響を受けません。
脆弱性を含んでいないことが確認された製品
このアドバイザリの脆弱性のある製品セクションにリストされている製品だけがこの脆弱性の影響を受けることが知られています。
シスコは、この脆弱性が以下のシスコ製品には影響を与えないことを確認しました。
- IOS XR ソフトウェア
- NX-OS ソフトウェア
- Cisco Secure Firewall Management Center（FMC）ソフトウェア
回避策
この脆弱性に対処する回避策はありません。
修正済みソフトウェア
シスコでは、回避策や緩和策（該当する場合）は、修正済みソフトウェアリリースへのアップグレードが利用可能になるまでの一時的な解決策であると考えています。この脆弱性を完全に修正し、本アドバイザリに記載されているような将来のリスクを回避するために、シスコでは、本アドバイザリに記載されている修正済みソフトウェアにアップグレードすることを強く推奨します。
Cisco IOS および IOS XE ソフトウェア
お客様が Cisco IOS および IOS XE ソフトウェアの脆弱性による侵害の可能性を判断できるように、シスコは Cisco Software Checker を提供しています。このツールを使うことで、特定のソフトウェアリリースに関連するすべてのシスコ セキュリティ アドバイザリを検索でき、それぞれのアドバイザリで言及された脆弱性を修正した最初のリリース（「First Fixed」）を特定できます。 また、該当する場合には、Software Checker により判別されたすべてのアドバイザリに記載のすべての脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。
このツールを使用するには、「Cisco Software Checker」ページの手順に従います。あるいは、次のフォームを使用して、シスコ セキュリティ アドバイザリに該当するリリースであるかどうかを確認します。このフォームを使用するには、次の手順に従います。
- ツールで検索するアドバイザリを選択します。このアドバイザリのみ、セキュリティ影響評価（SIR）が「重大」または「高」のアドバイザリのみ、すべてのアドバイザリのいずれかです。
- リリース番号（例：15.9(3)M2、17.3.3）を入力します。
- [チェック（Check）] をクリックします。
Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェア
お客様が Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェアにおける脆弱性のリスクの有無を判断できるように、シスコは Cisco Software Checker を提供しています。このツールを使うことで、特定のソフトウェアリリースに関連するすべてのシスコ セキュリティ アドバイザリを検索でき、それぞれのアドバイザリで言及された脆弱性を修正した最初のリリース（「First Fixed」）を特定できます。 また、該当する場合には、Software Checker により判別されたすべてのアドバイザリに記載のすべての脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。
このツールを使用するには、「Cisco Software Checker」ページの手順に従います。または、次のフォームを使用して、特定のソフトウェアリリースに影響を及ぼす脆弱性を検索します。このフォームを使用するには、次の手順に従います。
- ツールで検索するアドバイザリを選択します。すべてのアドバイザリ、セキュリティへの影響の評価（SIR）が「重大」または「高」のアドバイザリのみ、またはこのアドバイザリのみを選択します。
- 該当するソフトウェアを選択します。
- 該当するプラットフォームを選択します。
- リリース番号を入力します。たとえば、Cisco Secure Firewall ASA ソフトウェアの場合は 9.20.3.4、Cisco Secure FTD ソフトウェアの場合は 7.4.2 と入力します。
- [チェック（Check）] をクリックします。
関連情報
最適な Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェアリリースの決定方法については、次の推奨リリースに関するドキュメントを参照してください。セキュリティ アドバイザリでより新しいリリースが推奨されている場合は、そのアドバイザリのガイダンスに従うことをお勧めします。
Cisco Secure Firewall ASA の互換性
Cisco Secure Firewall ASA アップグレードガイド
Cisco Secure Firewall Threat Defense 互換性ガイド
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。
出典
この脆弱性は、Cisco Advanced Security Initiatives Group（ASIG）の Jason Crowder による内部セキュリティテストで発見されました。
URL
改訂履歴
| バージョン | 説明 | セクション | ステータス | 日付 |
|---|---|---|---|---|
| 1.0 | 初回公開リリース | — | Final | 2026 年 3 月 25 日 |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。