Cisco IOSソフトウェアの複数のSNMPコミュニティストリングの脆弱性

Cisco IOS®ソフトウェアおよびCatOSソフトウェアの複数のリリースには、SNMPコミュニティストリングの予想外の作成と公開に関連する、独立した複数の脆弱性が存在します。これらの脆弱性は、影響を受けるデバイスの不正な表示または変更を許可するために不正利用される可能性があります。

この脆弱性を排除するため、シスコでは該当するすべてのプラットフォームに対して無償のソフトウェアアップグレードを提供しています。この不具合は、DDTSレコードCSCds32217、CSCds16384、CSCds19674、CSCdr59314、CSCdr61016、およびCSCds49183で文書化されています。

各脆弱性に対する特定の回避策に加えて、SNMPアクセスを防止することで、該当するシステムを保護できます。

この通知はhttps://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20010228-ios-snmp-communityで公開されます。

このセクションには、該当製品に関する詳細が掲載されています。

これらの脆弱性は、ネットワークデバイスのリモート管理のためのインターネット標準であるSimple Network Management Protocol(SNMP)に関連する機能の不具合によるものです。SNMPは、「コミュニティストリング」と呼ばれる1つ以上のラベルを使用して、デバイスで表示または変更できる「オブジェクト」（変数）のグループを区切ります。このようなグループのSNMPデータは、Management Information Base（MIB；管理情報ベース）と呼ばれるツリー構造に編成されています。1つのデバイスに複数のMIBを接続して1つの大きな構造にすることができ、さまざまなコミュニティストリングを使用して、大きなデータ構造の異なる（オーバーラップしている可能性がある）部分への読み取り専用アクセスまたは読み取り/書き込みアクセスを提供することができます。読み取り専用変数の例としては、インターフェイスを介して送受信されたオクテットの総数を示すカウンタがあります。読み取り/書き込み変数の例としては、インターフェイスの速度やデバイスのホスト名などがあります。

コミュニティストリングは、SNMP、v1、v2cの以前のバージョンのアクセス制御の弱い形式も提供します。（SNMPv3は、強力な認証を使用して改善されたアクセスコントロールを提供し、サポートされている場合はSNMPv1およびSNMPv2cよりも優先されます）。 コミュニティストリングが定義されている場合、要求された操作がデバイスによって許可されるには、基本的なSNMPクエリーでそのコミュニティストリングを指定する必要があります。コミュニティストリングでは、通常、デバイス全体に対する読み取り専用アクセスまたは読み取り/書き込みアクセスが許可されます。場合によっては、特定のコミュニティストリングは、個々のMIBで説明されている読み取り専用オブジェクトまたは読み取り/書き込みオブジェクトの1つのグループに制限されます。

アクセスを制限する追加の設定オプションがない場合、デバイスの単一コミュニティストリングの知識だけで、すべてのオブジェクト（読み取り専用と読み取り/書き込みの両方）にアクセスし、読み取り/書き込みオブジェクトを変更できます。これらの脆弱性の原因となる不具合は、次のように機能ごとにグループ化されています。

1. この不具合は、SNMPv2の「インフォーム」機能の実装によって発生します。この機能には、ステータス情報を共有するための読み取り専用コミュニティストリングの交換が含まれます。該当するデバイスが、「snmp-server host」コマンドなどのSNMP「トラップ」（ロギングメッセージ）を受信するホストを定義するコマンドを処理する場合、保存された設定にまだ定義されていなければ、trap文で指定されたコミュニティも一般的な使用のために設定されます。これは、以前にコミュニティが削除され、システムがリロードされる前にコンフィギュレーションがメモリに保存されていた場合でも発生します。
   
2. 読み取り/書き込み(RW)コミュニティストリングは、デバイスの読み取り専用コミュニティストリングを使用してView-based Access Control MIB(VACM)の「ウォーク」、つまりトラバーサルによってデバイスが調べられるときに公開されます。View-based Access Control（CBAC；ビューベースアクセスコントロール）は、バージョン12.0(3)TのIOSに追加されたSNMPv3の機能です。CSCds32217では、IOSでの不具合について説明します。CSCds16384れは、2900XLおよび3500XLスイッチで稼働するIOSに適用されます。また、CSCds19674では、CatalystスイッチでのCatOSでの不具合についても説明します。12.0(12.0(3)T以降)のほとんどのIOSリリースと、ほとんどの12.1リリースには、2900XLおよび3500XLスイッチの12.0(5.2)XUと12.0(5)XW、およびCatalystスイッチのCatOSリリース5.4(1) ～ 5.5(2)と6.1(1)と同様にこの脆弱性が含まれています。
   
3. ケーブルモデム管理のための新しいケーブル業界標準の実装により、文書化されていない読み書きコミュニティストリング「cable-docsis」が導入されました。これは、DOCSIS準拠のケーブル対応デバイスのみを対象としたものです。DOCSIS互換ケーブルモデムと限定された範囲のIOSリリースのヘッドエンドユニットを除くすべてのデバイスで、誤ってデフォルトで有効になりました。この不具合は、CSCdr59314で文書化されています。この脆弱性は、12.1(3)および12.1(3)Tに基づく非常に限定されたIOSリリースセットに限定され、12.1(4)および12.1(5)Tリリース以降で修正されています。
   

特定のリリースの各脆弱性のステータスに関する詳細については、次のソフトウェアセクションを参照してください。

IOSに文書化されていないデフォルトの「ILMI」読み取り/書き込みコミュニティストリングが存在するため、SNMPの脆弱性に関する別のCisco Security Advisoryが最近発表されました。この通知と並行して、このアドバイザリhttps://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20010227-ios-snmp-ilmiも参照してください。

該当するルータまたはスイッチでenableモードを使用している場合は、次の回避策をすべて設定する必要があります。設定を変更するたびに、必ず「write memory」コマンドを使用して変更を保存してください。

CSCdr61016とCSCds49183によって導入された脆弱性の回避策は、snmp-serverホストを設定する前に、snmp-serverホストのコミュニティストリングを設定することです。このコマンドには、このコミュニティストリングに対する必要なアクセス制限が含まれている必要があります。次の例では、「1.2.3.4」はSNMPトラップを受信するホストのIPアドレスです。

router#config term
   ! create access list
router(config)#access-list 66 deny any
   ! configure community string with access restrictions
router(config)#snmp-server community public ro 66
   ! configure snmp-server host
router(config)#snmp-server host 1.2.3.4 public
router(config)#exit
router#write memory
router#

同じコミュニティストリングを使用して1つ以上の「snmp-server host」コマンドを入力した後で「snmp-server community」コマンドを入力した場合、それ以外には無関係な不具合CSCdr21997ードがあるため、「snmp-server host」コマンドをすべて再入力する必要があります。後者の不具合では、トラップやインフォームがコミュニティストリングを使用してルータから送信されるのを防ぎます。この不具合は、CSCdr61016と同じIOSリリースの一部（すべてではない）に存在します。

「snmp-server host」コマンドの定義後にコミュニティを完全に削除するには、それらのコミュニティに対応する関連する「snmp-server host」コマンドも削除する必要があります。

CSCds32217とCSCds16384で説明されている脆弱性は、「snmp-server view」コマンドを使用してSNMP-VIEW-BASED-ACM-MIBをポーリングする機能をブロックすることで修正できます。その結果、SNMP-VIEW-BASED-ACM-MIBを参照する機能が制限されるビューが作成されます。このビューは、すべての読み取り専用コミュニティストリングに適用する必要があります。例：

router#config term
   ! create view
router(config)#snmp-server view novacm internet included
   ! block vacmSecurityToGroupEntry table
router(config)#snmp-server view novacm internet.6.3.16 excluded
   ! apply view to read-only security string
router(config)#snmp-server community public view novacm RO
router(config)#exit
router#write memory
router#

該当するルータまたはスイッチに複数の読み取り/書き込み(RW)コミュニティストリングがすでに含まれている場合は、すべての読み取り/書き込み(RW)コミュニティストリングがSNMP-VIEW-BASED-ACM-MIBを読み取れないようにする必要があります。ビューが適用されていない読み取り/書き込みコミュニティストリングの場合は、新しいビューを作成してコミュニティストリングに適用します。読み取り/書き込み(RW)コミュニティストリングにすでにビューが適用されている場合は、SNMP-VIEW-BASED-ACM-MIBにアクセスできないようにビューを変更します。両方の状況を次に示します。

次の例が既存の設定の一部である場合：

router#show running-config
...
snmp-server view oldview internet included
snmp-server view oldview ipRouteTable excluded
snmp-server view oldview ipNetToMediaTable excluded
snmp-server view oldview at excluded
snmp-server community tech view oldview RW
snmp-server community private RW
...

その後、次の変更によってSNMP-VIEW-BASED-ACM-MIBが除外されます。

router#config term
   ! block vacmSecurityToGroupEntry table in existing view
router(config)#snmp-server view oldview internet.6.3.16 excluded
   ! create new view
router(config)#snmp-server view novacm internet included
router(config)#snmp-server view novacm internet.6.3.16 excluded
   ! apply new view
router(config)#snmp-server community private view novacm RW
router(config)#exit
router#write memory
router#

注：この回避策で最大限の保護を実現するには、該当するスイッチまたはルータ上の既存のすべてのビューを同様の方法で変更する必要があります。

CatOSのCSCds19674に記載されている脆弱性は、「set snmp view」コマンドを使用してSNMP-VIEW-BASED-ACM-MIBへのアクセスを防止することで修正できます。例：

switch#set snmp view defaultUserView 1.3.6.1.6.3.16.1.2 excluded nonvolatile

「cable-docsis」コミュニティストリングが設定から削除されると、システムのリロード後にCSCdr59314によって自動的に再表示されるようになります。次の回避策は、このコミュニティストリングに対するすべての要求を完全に拒否するアクセスリストステートメントを定義することによって、「cable-docsis」コミュニティストリングの使用を禁止します。

router#config term
   ! create access list
router(config)#access-list 66 deny any
   ! apply access restrictions to cable-docsis community string
router(config)#snmp-server community cable-docsis ro 66
router(config)#exit
router#write memory
router#

このセキュリティアドバイザリは、関連する複数の製品セキュリティ脆弱性の組み合わせです。影響を受けるトレインとリリースは、すべてのバージョンで同一ではありませんが、影響を受ける不具合が他のバージョンと交差するリリースの重要なグループがあります。特に断りのない限り、「修正済みリリースのアベイラビリティ」に表示される各ラベルは、その特定のトレインのこれらの不具合をすべて解決するリリースを示します。次の例外に注意してください。

• IOSソフトウェアのメジャーリリースバージョン12.0および11.x以前に基づくIOSリリースは、この通知に記載されている脆弱性の影響を受けません。12.0DA、12.0S、12.0Tなど、12.0のその他すべてのリリースが影響を受ける可能性があります。
  
• CSCdr59314は特定の12.1(3)リリースにのみ存在し、他のIOSリリースには影響しません。
  
• 6つの不具合すべての修正は、最初のリリースより前に12.2に統合されているため、12.2およびそれ以降のバージョンに基づくすべてのリリースは、このアドバイザリに記載されている不具合の影響を受けません。
  

次の表に、影響を受けることが確認されているIOSソフトウェアリリースと、推奨される修正済みバージョンの最早提供予定日をまとめます。日付は常に暫定的なものであり、変更される可能性があります。

表の各行に、リリース群、および対象のプラットフォームまたは製品を示します。特定のリリーストレインに脆弱性が存在する場合、修正を含む最初のリリースと、各リリースの提供予定日が「Rebuild」、「Interim」、および「Maintenance」の各列に表示されます。特定の列のリリース（最初の修正リリースより前）で特定のトレインのリリースを実行しているデバイスは脆弱であることが確認されており、少なくとも示されたリリース（最初の修正リリースより後）または新しいバージョン（最初の修正リリースより後のラベル）にアップグレードする必要があります。

リリースを選択するときは、次の定義を念頭においてください。

• Maintenance：テストを重ね、推奨される、表の特定の行にあるラベルのリリース。
  
• 再構築- 同じリリース群の以前のメンテナンス リリースまたはメジャー リリースから構築されたリリース。特定の障害に対する修正が含まれています。テストの回数は少なくなりますが、修復に必要な最小限の変更のみが含まれています。
  
• Interim：メンテナンスリリース間の間隔で定期的に構築され、テストの頻度は少なくなります。暫定イメージは、脆弱性に対処する適切なリリースが他にない場合にのみ選択し、可能な限り早急に次のメンテナンスリリースにアップグレードする必要があります。暫定リリースは製造部門を通じて入手することはできず、通常はCisco TACと事前に調整を行わないと、CCOからダウンロードできません。
  

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報が不明な場合は、次のセクションに示すように、Cisco TACに連絡して支援を求めてください。

IOSのリリース名と省略形の詳細については、http://www.cisco.com/warp/public/620/1.htmlを参照してください。

CSCdr59314は内部で発見され、修復されました。シスコでは、「cable-docsis」コミュニティストリングを使用して、お客様のルータが許可なしに変更されたインシデントを認識しています。この脆弱性は、お客様からインシデントが報告された際に、Cisco Product Security Incident Response Team(PSIRT)の注目を集めました。その他の脆弱性は、最初は1つの製品に関してお客様から報告されたか、修復中に他の製品に関して内部的に確認されました。

シスコでは、これらの脆弱性を利用するために設計された特定のプログラムまたはスクリプトについては認識していませんが、このNoticeで説明されている脆弱性を利用するために現状のまま使用したり変更したりできる市販のプログラムやスクリプトは数多く存在します。

シスコでは、公開フォーラムにおけるこれらの脆弱性に関する一般的な議論は確認しておりません。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。