Cisco IOS and IOS XE のリモートコード実行の脆弱性（CVE-2017-3881）

何が起きた

Cisco IOS と IOS XE で、スイッチ同士をまとめて管理するための仕組み（Cluster Management Protocol、CMP）の処理に弱点が見つかりました。CMP 用の Telnet の設定項目を、本来のクラスター内の通信だけでなくどの Telnet 接続からも受け付けてしまい、しかも壊れた値を正しく処理できません。攻撃者は、高い権限で任意のプログラムを実行して機器を完全に乗っ取ったり、機器を再起動させたりできるおそれがあります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされ、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Telnet での接続を受け付ける設定になっている Cisco の機器が対象です。Catalyst スイッチ、Embedded Service 2020 スイッチ、IE Industrial Ethernet スイッチ、ME 4924-10GE スイッチ、RF Gateway 10 などが含まれます。修正されていない Cisco IOS や IOS XE を動かしている場合に影響を受け、具体的なバージョンは Cisco が用意している Cisco IOS Software Checker で確かめられます。

何をすればいい

Cisco IOS Software Checker で、使っているバージョンの修正版を調べ、更新してください。Cisco の公式情報では、回避策はありませんが、Telnet での接続を受け付けないようにすれば攻撃の入り口をなくせるとし、Telnet をやめて SSH を使うよう勧めています。Telnet を止められない場合は、VTY のアクセスリストやインフラ用のアクセス制御リスト（iACL）で接続元を絞ると、攻撃を受ける範囲を減らせます。あわせて Cisco の公式の案内を確認してください。

やることチェックリスト

• Cisco IOS Software Checker で修正版を調べる
• Telnet を止めて SSH での接続に切り替える
• 止められなければアクセスリストで接続元を絞る

用語メモ

Telnet

ネットワーク越しに機器を操作するための古い接続方法で、通信が暗号化されません。

SSH

ネットワーク越しに機器を操作するための接続方法で、通信が暗号化されます。

アクセスリスト

どこからの接続を許可し、どこからの接続を断るかを決めておく一覧のことです。