SIPパケットがSIPをサポートするIOSデバイスをリロードする

Session Initiation Protocol（SIP；セッション開始プロトコル）をサポートする該当バージョンのInternetwork Operating System(IOS)が稼働しているシスコデバイスは、ポート5060宛ての特定の一連のパケットを受信する際にデバイスのリロードを引き起こす可能性のある脆弱性の影響を受けます。この問題は、SIPが設定されていないデバイスでTCP 5060およびUDPポート5060へのトラフィックを許可する関連バグによって悪化します。

この問題が意図的に悪用された例は報告されていません。ただし、この脆弱性を偶然に誘発したものと思われるデータ ストリームは観察されています。

SIPを必要としないデバイスに対するこの問題の影響を緩和する回避策があります。

SIPはIP音声ネットワークで使用するために設計されたプロトコルで、世界中のVoice over Internet Protocol(VoIP)通信で広く使用されています。

SIPサービスをサポートする特定のバージョンのIOSを実行しているシスコデバイスは、TCPポート5060またはUDPポート5060に巧妙に細工された一連のSIPパケットによってデバイスのリロードを引き起こす脆弱性の影響を受ける可能性があります。この脆弱性は、SIPゲートウェイなど、SIP設定を含むルータに影響を与えます。この問題は、Cisco Bug ID CSCsh58082(登録ユーザ専用)に記載されています。

さらに、SIPサービスをサポートする特定のバージョンのIOSでは、SIP動作が設定されていない場合でもSIPメッセージを処理する場合があります。SIPメッセージを処理するために、IOSはUDPポート5060およびTCPポート5060をリスニング用に開きます。SIP動作を設定せずにSIPメッセージを処理するIOSの問題について文書化されているCisco Bug IDは、CSCsb25337(登録ユーザ専用)です。このバグの修正により、リスニングポートTCP 5060およびUDP 5060がオフになります。

この問題に対して脆弱なデバイスは、SIPポートが開いている必要があります。TCP 5060またはUDP 5060でリッスンしないデバイスには脆弱性はありません。SIPはトランスポートとしてUDPを使用するため、送信元のIPアドレスをスプーフィングして、信頼できるIPアドレスからこれらのポートへの通信を許可するACLを無効にできる可能性があります。

ネットワーク内のCiscoデバイスに適用可能な他の対応策は、このアドバイザリに関連するCisco適用対応策速報(https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20070131-sip)を参照してください。

SIPリスニングポートの無効化

SIPを有効にする必要がないデバイスに対する最も簡単で効果的な回避策は、次のコマンドを使用してデバイスのSIP処理を無効にすることです。

警告：この回避策をMGCPまたはH.323コールを処理しているデバイスに適用すると、アクティブコールの処理中にデバイスでSIP処理を停止できなくなります。このような状況では、この回避策は、アクティブコールを一時的に停止できるメンテナンスウィンドウ中に実装する必要があります。

Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#sip-ua
Router(config-sip-ua)#no transport udp
Router(config-sip-ua)#no transport tcp
Router(config-sip-ua)#end

この回避策を適用すると、show ip socketsコマンドとshow tcp brief allコマンドでは、UDPおよびTCPポート5060でリスニングしているデバイスは表示されません。

Router#show ip sockets
Proto    Remote      Port      Local       Port  In Out Stat TTY
 17   --listen--          9.13.32.18       2887   0   0   11   0

Router#show tcp brief all
TCB       Local Address           Foreign Address        (state)
6649A5A4  *.1720                  *.*                    LISTEN
66CDC764  *.1723                  *.*                    LISTEN

コントロール プレーン ポリシング

SIPを実行する必要がないデバイスでは、コントロールプレーンポリシング(CoPP)を使用して、デバイスへのすべてのSIPアクセスをブロックできます。Cisco IOS ソフトウェア リリース 12.0S、12.2SX、12.2S、12.3T、12.4、および 12.4T は、CoPP 機能をサポートしています。デバイスに CoPP を設定して、管理プレーンとコントロール プレーンを保護し、既存のセキュリティ ポリシーおよび設定に従って、インフラストラクチャのデバイスに送信される承認されたトラフィックだけを明示的に許可することで、インフラストラクチャへの直接攻撃のリスクと効果を最小限に抑えることができます。次の例をネットワークに適用できます。

警告：SIPはトランスポートとしてUDPを使用するため、送信者のIPアドレスをスプーフィングして、信頼できるIPアドレスからこれらのポートへの通信を許可するACLを無効にできる可能性があります。

!-- Permit all TCP and UDP SIP traffic sent to all IP addresses
!-- configured on all interfaces of the affected device so that it
!-- will be policed and dropped by the CoPP feature.


access-list 100 permit tcp any any eq 5060
access-list 100 permit udp any any eq 5060


!-- Permit (Police or Drop)/Deny (Allow) all other Layer3 and Layer4
!-- traffic in accordance with existing security policies and
!-- configurations for traffic that is authorized to be sent
!-- to infrastructure devices.



!-- Create a Class-Map for traffic to be policed by
!-- the CoPP feature.


class-map match-all drop-sip-class
  match access-group 100


!-- Create a Policy-Map that will be applied to the
!-- Control-Plane of the device.


policy-map drop-sip-traffic
  class drop-sip-class
    drop


!-- Apply the Policy-Map to the Control-Plane of the
!-- device.


control-plane
  service-policy input drop-sip-traffic

上記のCoPPの例では、access control list entries（ACE；アクセスコントロールリストエントリ）の潜在的な悪用パケットに「permit」アクションが一致する場合、これらのパケットはポリシーマップの「drop」機能によって廃棄されますが、「deny」アクション（非表示）に一致するパケットは、ポリシーマップのdrop機能の影響を受けません。CoPP 機能の設定と使用に関する詳細は、http://www.cisco.com/en/US/prod/collateral/iosswrel/ps6537/ps6586/ps6642/prod_white_paper0900aecd804fa16a.html および http://www.cisco.com/en/US/docs/ios/12_3t/12_3t4/feature/guide/gtrtlimt.html を参照してください。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、リリース トレインとそれに対応するプラットフォームまたは製品が記載されています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（「第 1 修正済みリリース」）とそれぞれの提供日が「リビルド」列と「メンテナンス」列に記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。このようなリリースは、少なくとも、示されているリリース以上（最初の修正リリース ラベル以上）にアップグレードしてする必要があります。

「リビルド」および「メンテナンス」という用語の詳細については、次のURLを参照してください。http://www.cisco.com/web/about/security/intelligence/ios-ref.html

次の表は、CSCsh58082(登録ユーザ専用)の脆弱性および修正済みステータスを示しています。これは、デバイスのリロードを引き起こすバグです。この表には、デバイスのSIP動作が完全に設定されていない場合にSIPメッセージの処理をオフにするCSCsb25337(登録ユーザ専用)に対して修正されたIOSリリースに関する情報も含まれています。2.0の公開時点では、CSCsh58082(登録ユーザ専用)に対する修正はありません。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。