Cisco IOS XE ソフトウェアの NAT、NAT64、ZBFW 対応 FTP アプリケーション層ゲートウェイで確認されたサービス妨害（DoS）の脆弱性

この脆弱性の影響を受けるのは、デバイスで脆弱性のある Cisco IOS XE ソフトウェア リリースを実行しており、FTP インスペクションで NAT、NAT64、ZBFW のいずれかの設定が有効になっている場合です。

脆弱性が存在する Cisco IOS XE ソフトウェア リリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。

注：この脆弱性は、該当デバイスを通過し、ALG機能によって検査されるトラフィックによって引き起こされる可能性があります。ZBFW がセルフ ゾーンの FTP トラフィックを検査するように設定されている場合、標的デバイスを宛先とするトラフィックによって、トリガーされることもあります。

NAT が設定されているかどうかの確認

デバイスが NAT を実行するように構成されているか調べるには、管理者は NAT がデバイス上でアクティブになっているか（推奨）、または NAT コマンドがデバイス構成に存在するかを確認します。

NAT がデバイス上でアクティブかどうかを確認するには、管理者がデバイスにログインして、CLI で show ip nat statistics コマンドを実行します。NAT がアクティブの場合は、コマンドの出力で Outside interfaces と Inside interfaces のセクションに、少なくともインターフェイスが 1 つ表示されます。

以下は、NAT がアクティブなデバイスで show ip nat statistics コマンドを実行した場合の出力例です。

Router#show ip nat statistics

Total active translations: 0 (0 static, 0 dynamic; 0 extended)
Peak translations: 10, occurred 00:24:01 ago
Outside interfaces:
  FastEthernet0/0
Inside interfaces: 
  FastEthernet0/1
Hits: 134280  Misses: 0
CEF Translated packets: 134270, CEF Punted packets: 10
Expired translations: 11
Dynamic mappings:
-- Inside Source
[Id: 1] access-list NET-192.168.20.0_24 pool POOL-NET-192.168.1.0_24 refcount 0
 pool POOL-NET-192.168.1.0_24: netmask 255.255.255.0
start 192.168.1.120 end 192.168.1.128
type generic, total addresses 9, allocated 0 (0%), misses 0

Total doors: 0
Appl doors: 0
Normal doors: 0
Queued Packets: 0
Router#

show ip nat statistics コマンドの出力にインターフェイスが含まれていない場合、そのデバイスでは NAT はアクティブになっていません。

また、管理者は CLI で show running-config コマンドを実行し、デバイス構成に NAT コマンドが存在するか評価することで、デバイスで NAT がアクティブになっているかどうかを確認できます。デバイスで NAT がアクティブになっている場合は、show running-config コマンドの出力に ip nat inside と ip nat outside インターフェイスコマンドが含まれています。

NAT ALG 機能が FTP に対して有効になっているかどうかの確認

デフォルトでは、FTP に対して NAT ALG 機能が有効になっており、この機能はデバイスで実行中の構成情報には表示されません。

Router#show running-config | include ip nat service ftp
no ip nat service ftp
Router#

show running-config | include ip nat service ftp コマンドを実行しても出力が返されない場合、FTP で NAT ALG が有効になっています。

NAT64 が設定されているかどうかの確認

デバイスが NAT64, を実行するように構成されているか調べるには、管理者は NAT64 がデバイス上でアクティブになっているか（推奨）、または NAT コマンドがデバイス構成に存在するかを確認します。

NAT64 がデバイス上でアクティブかどうかを確認するには、管理者がデバイスにログインして、CLI で show nat64 statistics コマンドを実行します。NAT64 がアクティブの場合は、コマンドの出力で Interface Statistics セクションに少なくともインターフェイスが 1 つ表示されます。

以下は、NAT64 がアクティブなデバイスで show nat64 statistics コマンドを実行した場合の出力例です。

Router#show nat64 statistics
NAT64 Statistics

Total active translations: 2 (1 static, 1 dynamic; 1 extended)
Sessions found: 155
Sessions created: 1
Expired translations: 0
Global Stats:
   Packets translated (IPv4 -> IPv6)
      Stateless: 0
      Stateful: 81
      MAP-T: 0
   Packets translated (IPv6 -> IPv4)
      Stateless: 0
      Stateful: 75
      MAP-T: 0

Interface Statistics
   GigabitEthernet1 (IPv4 not configured, IPv6 configured):
      Packets translated (IPv4 -> IPv6)
         Stateless: 0
         Stateful: 0
         MAP-T: 0
      Packets translated (IPv6 -> IPv4)
         Stateless: 0
         Stateful: 75
         MAP-T: 0
      Packets dropped: 0
   GigabitEthernet2 (IPv4 configured, IPv6 not configured):
      Packets translated (IPv4 -> IPv6)
         Stateless: 0
         Stateful: 81
         MAP-T: 0
      Packets translated (IPv6 -> IPv4)
         Stateless: 0
         Stateful: 0
         MAP-T: 0
      Packets dropped: 0
Dynamic Mapping Statistics
   v6v4
Limit Statistics

show nat64 statistics コマンドの出力で、インターフェイスが 1 つも表示されない場合、そのデバイスで NAT64 はアクティブではありません。

また管理者は、CLI で show running-config コマンドを実行し、デバイス構成に NAT64 コマンドがあるかどうかを確認することで、デバイスで NAT64 がアクティブかどうかを判断できます。デバイスで NAT64 がアクティブな場合は、show running-config コマンドの出力に nat64 enable インターフェイス コマンドが含まれます。

NAT64 ALG 機能が FTP に対して有効になっているかどうかの確認

デフォルトでは、FTP に対して NAT64 ALG 機能が有効になっており、この機能はデバイスで実行中の構成情報には表示されません。

デバイスで FTP に対して NAT64 ALG が設定されているかどうかを判別するには、管理者がデバイスにログインして、CLI で show running-config | include nat64 service ftp コマンドを実行します。コマンドの出力で、nat64 service ftp コマンドの前に何も表示されていない場合、NAT64 ALG は FTP に対して無効になっています。以下は、このような場合の例です。

Router#show running-config | include nat64 service ftp

no nat64 service ftp
Router#

show running-config | include nat64 service ftp コマンドを実行しても出力が返されない場合、FTP で NAT64 ALG が有効になっています。

ゾーンベース ポリシー ファイアウォールが設定されているかどうかの確認

デバイスで ZBFW が設定されているかどうかを確認するには、管理者がデバイスにログインして、CLI で show zone security コマンドを実行します。コマンド出力で、ゾーン名の下にメンバー インターフェイスが表示されている場合、デバイスには脆弱性が存在します。

以下は、GigabitEthernet0/0 および GigabitEthernet0/1 の両メンバー インターフェイスに ZBFW ルールが設定されているデバイスで、このコマンドを実行した場合の出力例です。

Router#show zone security
zone self
  Description: System defined zone

zone inside
  Description: *** Inside Network ***
  Member Interfaces:
    GigabitEthernet0/0

zone outside
  Description: *** Outside Network ***
  Member Interfaces:
    GigabitEthernet0/1

Router#

ZBFW ALG 機能が FTP を検査しているかどうかの確認

デフォルトでは、ZBFW ALG は FTP に対して無効になっています。

ZBFW ALG 機能が、検査対象クラス用に定義されたプロトコルを使用せずに設定されている場合、ZBFW ALG 機能はデフォルトですべてのプロトコルを検査します。この設定を備えたデバイスは脆弱です。

また、デバイスは、ZBFW ALG 機能が FTP、FTPS、またはその両方を検査するように設定されている場合にも脆弱です。FTP に対する ZBFW ALG 機能の状態を確認するには、管理者がデバイスにログインして、CLI で show policy-map type inspect zone-pair | include Match: protocol ftpコマンドを使用して、FTPインスペクションが明示的に設定されているかどうかを確認できます。出力で ftp または ftps の一致が返される場合、そのデバイスは脆弱です。以下は、このような場合の例です。

Router#show policy-map type inspect zone-pair | include Match: protocol ftp 
       Match: protocol ftp 
       Match: protocol ftps 

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この脆弱性の影響を受けることが分かっています。

シスコは、この脆弱性が Cisco IOS ソフトウェア、Cisco IOS XR ソフトウェア、および Cisco NX-OS ソフトウェアには影響を与えないことを確認しました。