Cisco Catalyst 6800 Series Switches の脆弱性（CVE-2017-12238）

何が起きた

Cisco Catalyst 6800 Series Switches 向けの Cisco IOS の VPLS（離れた拠点を1つの LAN のようにつなぐ仕組み）の処理に、メモリの管理の問題があります。攻撃者が MAC アドレスの表に大量の項目を作らせると、C6800-16P10G または C6800-16P10G-XL のラインカードが落ちて、通信が止まる（サービス妨害）おそれがあります。攻撃者は同じネットワーク内から、ログインなしで、利用者の操作もなしに悪用できます。CISA は実際の悪用を確認していますが、Cisco の勧告では、悪用の報告は把握していないと書かれています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD によると、Cisco Catalyst 6800 Series Switches 用の Cisco IOS 15.0 から 15.4 が対象です。Cisco によると、Supervisor Engine 6T と一緒に C6800-16P10G または C6800-16P10G-XL のラインカードを使い、VPLS を設定していて、そのラインカードが中心側の MPLS のインターフェースになっている機器が影響を受けます。Cisco IOS XE Software、Cisco IOS XR Software、Cisco NX-OS Software は影響を受けないと確認されています。

何をすればいい

Cisco は修正したソフトウェアを公開しており、この弱点を避ける回避策はないとしています。Cisco IOS Software Checker で修正版を調べ、更新してください。VPLS が設定されているかは show vfi コマンドで確かめられます。あわせて Cisco の公式の案内を確認してください。

やることチェックリスト

• show vfi で VPLS の設定があるか調べる
• 対象のラインカードを使っているか調べる
• Cisco の修正版のソフトウェアに更新する

用語メモ

VPLS

通信会社などのネットワークを通して、離れた拠点どうしを1つの LAN のようにつなぐ仕組みです。

ラインカード

スイッチなどに差し込んで使う、通信の口（ポート）を持った部品です。

MAC アドレス

ネットワーク機器ごとに付けられた識別番号です。スイッチは表にして、どこへ送るかを決めます。

サービス妨害

機器やサービスを止めたり、使えなくしたりする攻撃です。DoS とも呼ばれます。