Cisco IOS IPSのDoS脆弱性

Cisco IOS Intrusion Prevention System(IPS)は、インラインのディープパケットインスペクション機能で、幅広いネットワーク攻撃を効果的に軽減します。Cisco IOS Integrated Threat Controlフレームワークのコンポーネントの1つであり、Cisco IOS Flexible Packet Matching機能によって補完されるCisco IOS IPSは、悪意のあるトラフィックをリアルタイムで正確に特定、分類、停止、またはブロックするためのインテリジェンスをネットワークに提供します。Cisco IOS IPS機能の詳細については、http://www.cisco.com/en/US/docs/ios/12_3t/12_3t8/feature/guide/gt_fwids.htmlを参照してください。

Cisco IOS IPS機能が導入される前は、Cisco IOSは同様の機能であるCisco IOS Intrusion Detection System（IDS；侵入検知システム）を提供していました。Cisco IOS IDS機能は、この脆弱性の影響を受けません。Cisco IOS IDS機能の詳細については、http://www.cisco.com/en/US/docs/ios/12_0t/12_0t5/feature/guide/ios_ids.htmlを参照してください。

特定のネットワークトラフィックがSERVICE.DNSシグニチャエンジンでIPSシグニチャをトリガーする可能性があり、これによりCisco IOSデバイスがクラッシュまたはハングする可能性があります。これにより、サービス拒否が発生し、ネットワークトラフィックが中断される可能性があります。この脆弱性は、Cisco Bug ID CSCsq13348 (登録ユーザ専用)に記載されています。

この脆弱性に対してCommon Vulnerabilities and Exposures(CVE)IDとしてCVE-2008-2739が割り当てられています。

回避策としては、デバイスに設定されているすべてのCisco IOS IPSポリシーにアクセスコントロールリスト(ACL)を追加して、ポート53/udpまたは53/tcp宛てのトラフィックがCisco IOS IPS機能によって検査されないようにします。次のACLをデバイス設定に追加する必要があります。

! deny inspection of traffic with a destination port of 53/udp
access-list 177 deny   udp any any eq 53
! deny inspection of traffic with a destination port of 53/tcp
access-list 177 deny   tcp any any eq 53
! allow all other traffic to be inspected
access-list 177 permit ip any any

デバイス上のCisco IOS IPSポリシーのすべてのインスタンスは、以前のACLを参照するために変更する必要があります。デバイスに設定されているCisco IOS IPSポリシーを確認するには、show running-configコマンドを実行します。 | include ip ips nameコマンドを実行します。

Router#show running-config | include ip ips name
ip ips name ios-ips-incoming
ip ips name ios-ips-outgoing
Router#

前の例では、2つのCisco IOS IPSポリシーがデバイスに設定されています。次の例は、前述した各Cisco IOS IPSポリシーへのACLの追加を示しています。

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#ip ips name ios-ips-incoming list 177
Router(config)#ip ips name ios-ips-outgoing list 177
Router(config)#end
Router#

検証ステップとして、コマンドshow ip ips interfacesを再度実行して、ACLが各Cisco IOS IPSポリシーに正しく割り当てられていることを確認できます。

Router#show ip ips interfaces
    Interface Configuration
      Interface FastEthernet0/0
        Inbound IPS rule is ios-ips-incoming
    acl list 177
        Outgoing IPS rule is not set
      Interface FastEthernet0/1
        Inbound IPS rule is not set
        Outgoing IPS rule is ios-ips-outgoing
    acl list 177
Router#

注：Cisco IOS IPS機能のSERVICE.DNSエンジンを使用して、個々のシグニチャまたはすべてのシグニチャを無効化または削除することは、推奨される回避策ではありません。前述の回避策は、この脆弱性に対してシスコが推奨する唯一の回避策です。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、Cisco IOS のリリース トレインが記載されています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（および、それぞれの予想提供日）が表の「第 1 修正済みリリース」列に記載されます。「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、お客様からシスコに報告されたものです。