Cisco IOS ソフトウェア SNMP 読み取り/書き込み ILMI コミュニティ文字列の脆弱性

バージョン11.xおよび12.0に基づくCisco IOS®ソフトウェアリリースには、許可がなくても、ドキュメント化されていないILMIコミュニティストリングを使用して限定された数のSNMPオブジェクトを表示および変更できる不具合が含まれています。一部の変更可能なオブジェクトは、「sysContact」、「sysLocation」、「sysName」などのMIB-IIシステムグループに制限されています。これらはデバイスの通常の動作には影響しませんが、予期せず変更されると混乱を引き起こす可能性があります。残りのオブジェクトはLAN-EMULATION-CLIENTおよびPNNI MIBに含まれており、これらのオブジェクトの変更はATM設定に影響を与える可能性があります。該当するデバイスがILMIコミュニティストリングの不正使用から保護されていない場合、サービス拒否攻撃に対して脆弱になる可能性があります。

この脆弱性は、CiscoルータおよびスイッチのIOSリリースの特定の組み合わせにのみ存在します。ILMIはATMに必要なコンポーネントであり、この脆弱性は、ATMインターフェイスの実際の存在やATM接続をサポートするデバイスの物理的な機能とは無関係に、ATMとILMIをサポートするソフトウェアが含まれているIOSリリースごとに存在します。

この脆弱性を排除するため、シスコでは該当するすべてのプラットフォームに対して無償のソフトウェアアップグレードを提供しています。この不具合は、DDTSレコードCSCdp11863で文書化されています。

ソフトウェアのアップグレードの代わりに、ILMIコミュニティまたは「*ilmi」ビューを無効にし、アクセスリストを適用してSNMPへの不正アクセスを防止することで、特定のIOSリリースに回避策を適用できます。影響を受けるシステムは、ソフトウェアリリースに関係なく、ネットワーク境界または個々のデバイスでSNMPトラフィックをフィルタリングすることで保護できます。

この通知はhttps://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20010227-ios-snmp-ilmiで公開されます。

このセクションには、該当製品に関する詳細が掲載されています。

ILMI(Interim Local Management Interface)は、ATM（非同期転送モード）インターフェイスの設定に使用される独立した業界標準です。この規格では、SNMP(Simple Network Management Protocol)で以前に定義されたメカニズムと形式の使用が規定されています。ILMI通信はSNMPに基づいていますが、実際には、物理ATMリンクのみを通過するIP（インターネットプロトコル）以外のトランスポートを使用して行われます。ILMIは、ATM自動検出やLANE（LANエミュレーション）などの機能に不可欠です。

SNMPの「オブジェクト」は、MIB(Management Information Base)に編成された変数です。MIBはツリー構造になっており、動作（読み取り専用）データと設定（読み取り/書き込み）オプションの両方が含まれています。SNMP要求で「ILMI」というコミュニティストリングを指定することにより、MIB-IIシステムグループ、LAN-EMULATION-CLIENT MIB、およびPNNI(Private Network-to-Network Interface)MIBという、この脆弱性の影響を受けるデバイスの全体的な管理ツリー構造の3つの特定部分にあるオブジェクトを読み取るためのアクセス権を取得できます。各パーツ内のオブジェクトのサブセットは、同じ「ILMI」コミュニティストリングを使用して変更できます。

MIB-IIシステムグループには、デバイス自体に関する基本情報が含まれています。変更可能なオブジェクトの数は制限されています。次に例を示します。

• system.sysContact：デバイスの管理を担当する個人または組織の連絡先情報。
  
• system.sysLocation：デバイスがインストールまたは動作している物理的な場所の説明。
  
• system.sysName：デバイスのホスト名、およびコンソールプロンプトでそれ自体を識別する方法。（これは、ネットワーク上の他のホストがデバイスを認識するときに使用する名前とは異なる場合があります）。
  

システムMIBのほとんどのオブジェクトは読み取り専用であり、SNMPでは変更できません。たとえば、前回の再起動からの経過時間、デバイスのハードウェアおよびソフトウェアのテキストによる説明などです。

LAN-EMULATION-CLIENT MIBおよびPNNI MIBでは多数のオブジェクトを表示できます。また、一部の読み取り/書き込みオブジェクトの変更は、デバイスのATM動作に影響を与える可能性があります。LAN-EMULATION-CLIENT MIBのオブジェクトは、LANEがすでにデバイスに設定されている場合にのみ表示または変更できます。

Cisco IOSソフトウェアでのSNMPへのアクセスは、アクセスコントロールリスト(ACL)の適用、SNMPビューの変更または削除、実行コンフィギュレーションからのコミュニティストリングの削除、またはSNMPサービスの無効化によって制限できます。アクセスの基準を満たさないSNMPクエリは、このような保護手段が講じられた時点で速やかに廃棄されます。クエリがアクセスの基準を満たさない場合、応答が作成されて送信されます。

すべてのIOS 11.1以降のリリースでILMIコミュニティストリングを使用できないようにデバイスを設定できます。これを実現するために選択される特定の方法は、特定のIOSリリースと設定によって異なります。

この不具合は、CSCdp11863で文書化されています。この脆弱性は、「ILMI」コミュニティストリングを使用するSNMP要求がILMIによって転送された場合にのみ認識されるようにテストを実施することで修正されます。

ATM機能は、Cisco IOSソフトウェアのさまざまな10.xリリースで追加されました。ただし、不具合を含む機能は、ILMIおよびその他のATM機能のサポートがIOSリリース11.0(0.2)で追加されたときに導入されました。したがって、以前のリリースには脆弱性はありません。

追加のSNMP脆弱性に関しては、別途Cisco Security Advisoryが発表されています。この通知と並行して、このアドバイザリhttp://www.cisco.com/warp/public/707/ios-snmp-community-vulns-pub.shtmlも参照してください。

お客様のニーズ、機器、およびソフトウェアの機能に基づいて、いくつかの回避策があります。各回避策の有用性と実用性は、デバイスで実行されているIOSリリースと、お客様の環境の多くの変数によって異なります。導入する前に、次の各選択肢を慎重に検討することをお勧めします。これらの回避策が必要になるのは、該当しないリリースのIOSソフトウェアにアップグレードできない場合だけです。

1. 他の回避策が有効でないリリースで使用するデフォルトの回避策：
   
   1. すべてのホストからのSNMPをブロックしている脆弱なデバイスのすべてのインターフェイスにアクセスリストを適用する（デバイスを管理する権限を持つホスト以外）。
      
   2. 望ましくないSNMPトラフィックが脆弱性のあるデバイスを含むネットワークに入るのを防ぐために、ネットワークのエッジでSNMPアクセスをブロックする。
      
   アクセスリストは、ネットワークの動作とパフォーマンスに与える可能性のある影響を慎重に考慮して導入する必要があります。また、IP送信元アドレスに基づく認証は脆弱であるため、前述の方法では、IP送信元アドレスがスプーフィングされている特定の種類の攻撃から保護できないことに注意してください。詳細については、http://www.cisco.com/warp/public/707/21.htmlにあるシスコのドキュメント『Improving Security on Cisco Routers』を参照してください。
   
2. IOS 11.1に基づく該当リリース：
   
   1. ビューを削除して、ILMIコミュニティに到達できないようにします。
      snmp-server view *ilmiなし
      
   2. この設定は、システムのリロード後も有効になりません。このコマンドは、システムを再起動するたびに再入力する必要があります。
      
3. 該当するIOS 11.2 ～ 11.3(8)のリリースでATMを必要としない場合：
   この影響を受けるリリースの範囲では、ILMIコミュニティストリングを変更または削除できます。ただし、デバイスをリブートしても変更内容は保持されません。これらの手順は、該当デバイスのシステムをリロードするたびに再適用する必要があります。
   
   1. ドキュメントに記載されていないILMIコミュニティストリングを公開し、変更できるようにします。
      snmpサーバコミュニティILMI RW
      上記のコマンドを実行すると、エラーが発生する場合がありますが、無視しても問題はありません。
      
   2. 同じコミュニティの読み取り/書き込み機能を無効にします。
      no snmp-server community ILMI RWコマンド
      エラーが表示された場合は、この回避策をデバイスに適用できません。上記の最初の項目に示されているデフォルトの回避策を使用します。
      
   3. この設定はシステムのリロード後も有効ではないため、システムを再起動するたびにコマンドを再入力する必要があります。
      
   上記の項目2のコマンドでエラーが発生せず、このデバイスでATMが必要ない場合は、この回避策は完了です。
   
4. ATMを必要とするIOS 11.2 ～ 11.3(8)の該当リリースについては、次の手順を実行します。
   

   注：この回避策は、LS1010や8500シリーズなどのATMスイッチでは無効です。これらのデバイスについては、セクションIを参照してください。

   この回避策により、ILMIコミュニティストリングを使用してデバイスを再設定できるユーザを制限しながら、ATMに対するILMIの機能を継続できます。
   
   1. 次のコマンドを使用して、アクセスを拒否する簡単なACLを作成します。「66」がすでに使用されている場合は、別の2桁の番号を選択します。
      アクセスリスト66 deny any
      
   2. 一般にILMIコミュニティに適用して、そのビューを制限します。
      snmpコミュニティILMIビュー*ilmi RW 66
      *ilmiビューが存在しない場合、エラーが報告されます。その場合は、次のコマンドを使用してILMIビューを明示的に制限します。
      snmpコミュニティILMI RW 66
      上記のコマンドで永続的なエラーが発生する場合、この回避策はこのデバイスには適用できません。上記の最初の項目に示されているデフォルトの回避策を使用します。
      
5. 該当するIOS 11.3(9) ～ 12.0(2)TのリリースでATMを必要としない場合：
   この範囲のすべてのバージョンのIOSはこの回避策を受け入れます。ただし、デバイスをリブートしても変更内容は保持されません。これらの手順は、該当デバイスのシステムをリロードするたびに再適用する必要があります。
   
   1. ドキュメントに記載されていないILMIコミュニティストリングを公開し、変更できるようにします。
      snmpサーバコミュニティILMI RW
      上記のコマンドを実行すると、エラーが発生する場合がありますが、無視しても問題はありません。
      
   2. 同じコミュニティの読み取り/書き込み機能を無効にします。
      no snmp-server community ILMI RWコマンド
      エラーが表示された場合は、この回避策をデバイスに適用できません。この手順を停止し、上記の最初の項目に示されているデフォルトの回避策を使用します。
      
   3. この設定は、システムのリロード後も有効になりません。このコマンドは、システムを再起動するたびに再入力する必要があります。
      
6. ATMを必要とするIOS 11.3(9)から12.0(2)Tの該当リリースについては、次の手順を実行します。
   

   注：この回避策は、LS1010や8500シリーズなどのATMスイッチでは無効です。この回避策は、12.0(3)T以降に基づく12.0リリース（12.0Sなど）にも有効ではありません。これらのデバイスについては、セクションIを参照してください。

   この回避策により、ILMIコミュニティストリングを使用してデバイスを再設定できるユーザを制限しながら、ATMに対するILMIの機能を継続できます。
   
   1. 次のコマンドを使用して、アクセスを拒否する簡単なACLを作成します。「66」がすでに使用されている場合は、別の2桁の番号を選択します。
      アクセスリスト66 deny any
      
   2. 一般にILMIコミュニティに適用して、そのビューを制限します。
      snmpコミュニティILMIビュー*ilmi RW 66
      *ilmiビューが存在しない場合、エラーが報告されます。その場合は、次のコマンドを使用してILMIビューを明示的に制限します。
      snmpコミュニティILMI RW 66
      上記のコマンドで永続的なエラーが発生する場合、この回避策はこのデバイスには適用できません。上記の最初の項目で説明されているデフォルトの回避策を使用してください。
      
7. 該当するIOS 12.0(3)T以降のリリースの場合：
   これらのIOSリリースには、この回避策に必要なSimple Network Management Protocol(SNMPv3)バージョン3のサポートが含まれています。
   snmp-serverコマンドを実行するオプションについてコンソールCLI（コマンドラインインタープリタ）で支援を求め、SNMPv3サポートが存在することを確認します。configモードに入り、次に示すコマンドを入力して、予想される応答を記録します。
   snmp-server user test ?
   

   remote  Specify a remote SNMP entity to which the user belongs
   v1      user using the v1 security model
   v2c     user using the v2c security model
   v3      user using the v3 security model
   
   

   上記のコマンドで期待どおりの結果が得られなかった場合、SNMPv3はこのリリースではサポートされておらず、この回避策は適用できません。この手順を中止し、上記の最初の項目で説明したデフォルトの回避策を適用することを検討してください。
   それ以外の場合、デバイスが期待どおりに応答したら、次の説明と手順に進みます。
   これらのIOSリリース(12.0(3)T以降)では、ILMIパケットは通常のIP SNMPパケットと同じ方法でSNMPエンジンによって処理されます。ILMIコミュニティストリングに適用されるアクセスコントロールリストまたはビューは、トランスポートがILMIまたはIPのどちらであっても処理されます。ただし、コミュニティストリングに適用できるアクセスコントロールリストのタイプはIPアクセスリスト文を介するものだけで、この文を適用するとILMIパケットを含むIP以外のすべてのパケットがブロックされます。*ilmiビューを変更または削除すると、ILMIによって転送されるパケットにも影響するため、ビューを変更する回避策は、SNMPを拒否する一方でILMIを許可する場合にも同様に効果がありません。このリリースの範囲では、IP SNMPパケットを拒否し、ILMI SNMPパケットも拒否しない回避策は適用できません。
   
8. 該当するIOS 12.0(3)T以降のリリースでATMを必要としない場合：
   
   1. ドキュメントに記載されていないILMIコミュニティストリングを公開し、変更できるようにします。
      snmpサーバコミュニティILMI RW
      上記のコマンドを実行すると、エラーが発生する場合がありますが、無視しても問題はありません。
      
   2. 同じコミュニティの読み取り/書き込み機能を無効にします。
      no snmp-server community ILMI RWコマンド
      エラーが表示された場合は、この回避策をデバイスに適用できません。この手順を停止し、デフォルトの回避策の使用を検討してください。
      
9. ATMを必要とするIOS 12.0(3)T以降の該当リリースについては、次の手順を実行します。
   

   注：このセクションは、LS1010や8500シリーズなどのATMスイッチソフトウェアにも適用されます。このセクションは、12.0(3)T以降に基づくその他の12.0リリース（12.0Sなど）にも適用されます。

   このカテゴリのシステムに有効な回避策は、デフォルトの回避策だけです。
   
   1. すべてのホストからのSNMPをブロックしている脆弱なデバイスのすべてのインターフェイスにアクセスリストを適用する（デバイスを管理する権限を持つホスト以外）。
      
   2. 望ましくないSNMPトラフィックが脆弱性のあるデバイスを含むネットワークに入るのを防ぐために、ネットワークのエッジでSNMPアクセスをブロックする。
      
   アクセスリストは、ネットワークの動作とパフォーマンスに与える可能性のある影響を慎重に考慮して導入する必要があります。また、IP送信元アドレスに基づく認証は脆弱であるため、前述の方法では、IP送信元アドレスがスプーフィングされている特定の種類の攻撃から保護できないことに注意してください。
   このリリースの範囲では、ILMI SNMPパケットを許可しながらIP SNMPパケットをブロックすることはできません。前述の代替回避策を使用すると、ATM ILMI通信に障害が発生し、設定時にただちにATM接続が失われるか、または後で予期しない接続が失われることが発生します。デフォルトの回避策を使用するか、修正済みソフトウェアにアップグレードします。
   

次の表に、影響を受けることが分かっているCisco IOSソフトウェアリリースと、修正済みリリースの提供が可能になる最も早い予定日をまとめます。すべての日付は暫定的なものであり、変更される可能性があります。

表の各行に、リリース群、および対象のプラットフォームまたは製品を示します。特定のリリーストレインに脆弱性が存在する場合、修正を含む最初のリリースと予想される日付

リリースを選択するときは、次の定義を念頭においてください。

• Maintenance：テストを重ね、推奨される、表の特定の行にあるラベルのリリース。
  
• 再構築- 同じリリース群の以前のメンテナンス リリースまたはメジャー リリースから構築されたリリース。特定の障害に対する修正が含まれています。テストの回数は少なくなりますが、修復に必要な最小限の変更のみが含まれています。
  
• Interim：メンテナンスリリース間の間隔で定期的に構築され、テストの頻度は少なくなります。暫定は、脆弱性に対応しているリリースが他にない場合にだけ選択してください。暫定リリースは、通常、事前の取り決めがない限り、CCO経由でお客様がダウンロードすることはできません。
  

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報が不明な場合は、次のセクションに示すように、Cisco TACに連絡して支援を求めてください。

IOSのリリース名と省略形の詳細については、http://www.cisco.com/warp/public/620/1.htmlを参照してください。

この脆弱性は、シスコのお客様のエンジニアリングスタッフに知られています。シスコは、この通知の公表前に、この情報が一般に知られているものと見なします。

シスコは、この脆弱性の結果として発生したと思われる、ルータの不正な変更に関連する最近のインシデントを認識しています。ただし、これは脆弱性のテストによる意図しない副作用である可能性があります。

シスコは、この脆弱性を利用するために特別に設計された利用可能なツールを認識していません。ただし、さまざまな市販のネットワーク管理プログラムを使用して、この脆弱性を簡単にテストし、不正利用することができます。クラッカーコミュニティに知られている広く利用可能な特定のプログラムは、この脆弱性の悪用を自動化するために、合理的に有能なプログラマによって変更される可能性があります。

シスコは、上記の例外を除き、この脆弱性に関する一般的な公開討論を行っていません。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。