Cisco IOSソフトウェアのネットワークアドレス変換の脆弱性

Cisco IOSソフトウェアを実行しているシスコデバイスは、VRF対応NATが設定されている場合に脆弱性の影響を受けます。

デバイスでVRF対応NATが設定されているかどうかを確認するには、次の2つの方法があります。

• デバイスの設定にVRF対応NATコマンドが含まれているかどうかを確認します。
• デバイスでVRF対応NATがアクティブかどうかを確認します。

デバイスの設定にVRF対応NATコマンドが含まれているかどうかの確認

Cisco IOSソフトウェアの設定でNATが有効になっているかどうかを確認するには、少なくとも1つのip natグローバルコンフィギュレーションコマンドにvrfキーワードが含まれている必要があります。show configuration | include ip nat .* vrf .*コマンドを使用すると、次の例に示すように、VRF対応NATが設定に存在するかどうかを確認できます。

Router> show running-config | include ip nat .* vrf .*
ip nat inside source static 192.168.121.113 2.2.2.1 vrf VRF-Red
Router>

デバイスでVRF対応NATがアクティブかどうかの確認

管理者は、NAT機能とVRF機能の両方がアクティブであることを確認することで、Cisco IOSデバイスでVRF対応NATが有効になっているかどうかを確認できます。

アクティブなNAT機能のチェック

最初に、show ip nat statisticsコマンドを入力します。NATがアクティブな場合、Outside interfacesとInside interfacesのセクションにはそれぞれ少なくとも1つのインターフェイスが含まれます。次の例は、NAT機能がアクティブになっているデバイスを示しています。

Router# show ip nat statistics

Total translations: 2 (0 static, 2 dynamic; 0 extended)
Outside interfaces: Serial0
Inside interfaces: Ethernet1
Hits: 135  Misses: 5
Expired translations: 2
Dynamic mappings:
-- Inside Source
access-list 1 pool mypool refcount 2
 pool mypool: netmask 255.255.255.0
        start 192.168.10.1 end 192.168.10.254
        type generic, total addresses 14, allocated 2 (14%), misses 0

showコマンドのsectionフィルタをサポートしているリリースでは、管理者はshow ip nat statistics | section interfacesコマンドを使用します。次に例を示します。

Router> show ip nat statistics | section interfaces
Outside interfaces:
  GigabitEthernet0/0
Inside interfaces: 
  GigabitEthernet0/1
Router>

アクティブなVRF機能のチェック

脆弱な状態の2番目の要件は、少なくとも1つのインターフェイスでVRFがアクティブであることです。この場合、次の例に示すように、show ip vrfコマンドにはインターフェイス名が付いた行が少なくとも1つ含まれます。

Router> show ip vrf      
  Name                             Default RD          Interfaces
  Red-VRF                          1:1                 Gi0/1

Cisco IOSソフトウェアリリースの判別

シスコ製品で稼働している Cisco IOS ソフトウェア リリースを確認するには、デバイスにログインして show version コマンドを使って、システム バナーを表示します。"Internetwork Operating System Software"、"Cisco IOS Software" あるいはこれらに類似するシステム バナーによってデバイスで Cisco IOS ソフトウェアが稼働していることを確認できます。 その後ろにイメージ名が括弧の間に表示され、続いて "Version" と Cisco IOS ソフトウエア リリース名が表示されます。他のシスコ デバイスでは、show version コマンドが存在しなかったり、別の出力が表示されたりします。

次の例は、シスコ製品がCisco IOSソフトウェアリリース15.0(1)M1を実行し、インストールされているイメージ名がC3900-UNIVERSALK9-Mであることを示しています。

Router> show version 
Cisco IOS Software, C3900 Software (C3900-UNIVERSALK9-M), Version 15.0(1)M1, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2009 by Cisco Systems, Inc.
Compiled Wed 02-Dec-09 17:17 by prod_rel_team

!--- output truncated 

Cisco IOSソフトウェアのリリース命名規則の追加情報は、次のリンクの『White Paper: Cisco IOS and NX-OS Software Reference Guide』で確認できます。 http://www.cisco.com/web/about/security/intelligence/ios-ref.htmlを参照。

次の製品には脆弱性が存在しないことが確認されています。

• Cisco IOS XE ソフトウェア
• Cisco IOS XR ソフトウェア
• Cisco NX-OS ソフトウェア
• Cisco ASAソフトウェア