Cisco IOSソフトウェアによるSAAパケットの処理

Service Assurance Agent（SAA；サービス保証エージェント）は、Response Time Reporter(RTR)機能の新しい名前です。

ルータは、RTRレスポンダが有効になっている場合にのみ脆弱です。ルータが不正なRTRパケットを受信すると、そのパケットはクラッシュします。RTRはデフォルトで無効になっています。RTRはCisco IOS®ソフトウェアリリース11.2で導入されましたが、脆弱性が存在するのは次のメインリリースだけです。

• 12.0S、SC、ST、SL、SP、SX
• 12.1、E、EA、EC、EX、EY
• 12.2、DA、S

完全なリストについては、「ソフトウェアバージョンと修正」セクションを参照してください。

脆弱性が存在する他のシスコ製品はありません。

RTRレスポンダを無効にする以外に回避策はありません。ルータにアクセスコントロールリスト(ACL)を適用することで、脆弱性を緩和できます。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20030515-saaで確認できます。

RTR機能を使用すると、応答時間とアベイラビリティを測定して、ネットワークのパフォーマンス、ネットワークリソース、およびアプリケーションを監視できます。この機能を使用すると、Response Time Reporter(RTR)の統計情報に基づいて、トラブルシューティング、問題通知、および問題分析を実行できます。

ルータは、RTRレスポンダが有効になっている場合にのみ脆弱です。これを確認するには、ルータの設定を確認します。ルータにログオンしたまま、次のコマンドを実行します。

Router>show rtr responder
     RTR Responder is: Enabled
     Number of control messages received: 0 Number of errors: 0 
     Recent sources:
     Recent error sources:

「RTR Responder is: Enabled」という行が表示された場合は、脆弱性が存在します。

または、次の手順を使用できます。

Router>show ip socket
     show ip socket
     Proto    Remote      Port      Local       Port  In Out Stat TTY OutputIF
     ....
      17 0.0.0.0             0 10.0.0.1         1967   0   0   89   0

上記の例のように、ルータがポート1967をリッスンしている行が見つかった場合は、脆弱性が存在します。

Cisco IOSソフトウェアに関しては、この脆弱性は2つのCisco Bug ID CSCdx17916およびCSCdx61997として文書化されています。

RTRレスポンダを無効にする以外に回避策はありません。この脆弱性は、ルータにACLを適用することで緩和できます。

RTRをディセーブルにするには、次のコマンドを実行する必要があります。

Router#conf t
     Enter configuration commands, one per line.  End with CNTL/Z.
     Router(config)#no rtr responder
     Router(config)#exit
     Router#copy running-config startup-config

ネットワークエッジ上の問題のパケットをすべてブロックする場合は、ACLを作成するか、既存のACLを変更して、次のようなエントリを含める必要があります。

Router#conf t
     Enter configuration commands, one per line.  End with CNTL/Z.
     Router(config)#access-list 101 deny udp any any eq 1967
     Router(config)#interface eth0
     Router(config)#ip access-group 101 in

この例では、インターフェイスeth0がネットワークエッジの方向を向いていると想定しています。ルータの正しいインターフェイスの代わりに使用する必要があります。

これにより、ポート1967/UDP宛てのパケットがネットワークに入るのを防ぐことができます。これらのパケットがネットワークを通過できるようにする必要がある場合、ACLは内部ルータのみを除外する必要があります。

ネットワークエッジでパケットをフィルタリングすることに加えて、デバイス自体にフィルタリングを適用して、既知の適切な送信元からのパケットだけを許可することもできます。これは、この問題の全体的な緩和に貢献します。

Router#conf t
     Enter configuration commands, one per line.  End with CNTL/Z.
     Router(config)#access-list 101 permit udp 10.0.0.1 10.0.0.10 eq 1967
     Router(config)#access-list 101 deny udp any 10.0.0.10 eq 1967
     Router(config)#interface eth0
     Router(config-if)#ip access-group 101 in

この例では、10.0.0.1が正当な送信元で、10.0.0.10がルータ自体のアドレスです。

Cisco IOS ソフトウェアの表（下掲）の各行には、リリース トレインとそれに対応するプラットフォームまたは製品が記載されています。特定のリリーストレインに脆弱性が存在する場合、修正を含む最初のリリース（「最初の修正リリース」）とそれぞれの提供予定日が「リビルド」、「暫定」、および「メンテナンス」の各列に記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。このようなリリースは、少なくとも、示されているリリース以上（最初の修正リリース ラベル以上）にアップグレードしてする必要があります。リリースを選択する際には、次の定義に注意してください。

• メンテナンス：表の特定の行で最も頻繁にテストされ、安定しており、強く推奨されるリリーストレインのリリースです。
• 再構築- 同じリリース群の以前のメンテナンス リリースまたはメジャー リリースから構築されたリリース。特定の障害に対する修正が含まれています。テストは十分ではありませんが、脆弱性を修正するために必要な最小限の変更だけが含まれています。
• 暫定- メンテナンス リリース間に定期的に構築されるリリース。厳密なテストは実施されていません。暫定は、脆弱性に対応しているリリースが他にない場合にだけ選択してください。暫定イメージは、次のメンテナンス リリースが利用可能になった後、すぐにアップグレードする必要があります。暫定リリースは製造部門を通じて入手することはできず、通常はCisco TACと事前に調整を行わないと、http://www.cisco.comからダウンロードできません。

すべての場合において、アップグレードするデバイスに十分なメモリが実装されており、現在のハードウェアおよびソフトウェアの構成が新しいソフトウェア リリースでも適切にサポートされていることを確認する必要があります。情報が明確でない場合は、Cisco TACに連絡して、下記の「修正済みソフトウェアの入手」セクションに示されているサポートを依頼してください。

Cisco IOSソフトウェアのリリース名と省略形の詳細については、http://www.cisco.com/web/about/security/intelligence/ios-ref.htmlを参照してください。

修正は、http://www.cisco.com/tacpage/sw-center/ の Software Center から入手できます。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。