Cisco IOS and IOS XE Software の脆弱性（CVE-2017-12237）

何が起きた

Cisco IOS と Cisco IOS XE の IKEv2（VPN で暗号の鍵を取り決める仕組み）の処理に弱点が見つかりました。特定の IKEv2 のパケットを送られると、CPU に高い負荷がかかったり、機器が再起動したりして、通信が止まる（サービス妨害）おそれがあります。攻撃者は離れた場所から、ログインなしで、利用者の操作もなしに悪用できます。CISA は実際の悪用を確認しており、Cisco も2022年3月に実際の悪用の試みを新たに把握したと発表しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD によると、Cisco IOS 15.0 から 15.6 と、Cisco IOS XE 3.5 から 16.5 が対象です。ISAKMP が有効な機器が影響を受け、IKEv2 の機能を特に設定していなくても対象になります。LAN-to-LAN VPN、リモートアクセス VPN（SSL VPN を除く）、DMVPN、FlexVPN など、多くの機能が IKEv2 を使っています。

何をすればいい

Cisco は修正したソフトウェアを公開しています。Cisco IOS Software Checker で修正版を調べ、更新してください。Cisco によると、使っているリリースが crypto ikev2 limit queue sa-init コマンドに対応していれば、このコマンドを使うことは修正版への更新と同じ効果があり、それ以外に回避策はありません。あわせて Cisco の公式の案内を確認してください。

やることチェックリスト

• show udp で IKE のポートが開いているか調べる
• Cisco の修正版のソフトウェアに更新する
• すぐ更新できなければ対応の設定コマンドを使う

用語メモ

IKEv2

VPN を作るときに、通信を暗号にするための鍵を相手と取り決める仕組みの第2版です。

ISAKMP

暗号の鍵を交換するための手順を決めた仕組みで、IKE の土台になっています。

VPN 用語集で見る

インターネットなどの上に、暗号で守られた専用の通り道を作る仕組みです。

サービス妨害 用語集で見る

機器やサービスを止めたり、使えなくしたりする攻撃です。DoS とも呼ばれます。