Cisco IOS and IOS XE Software の脆弱性（CVE-2017-6627）

何が起きた

Cisco IOS and IOS XE Software の UDP（ネットワーク通信の方式の一つ）の処理に、通信できなくなる弱点が見つかりました。あて先ポートが 0 の UDP の通信を送られると、受信の待ち行列（キュー）に UDP の通信がたまり、サービス妨害（機器を使えなくすること）が起きます。待ち行列は 250 個の通信を受け取るとそれ以上ためなくなります。攻撃者はネットワーク経由で、ログインなしに攻撃できます。実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco IOS and IOS XE Software を使う機器が対象です。NVD の説明では、Cisco IOS 15.1、15.2、15.4 と IOS XE 3.14 から 3.18 が挙げられています。Cisco の勧告では、影響を受けるリリースと修正版は、勧告に載っている Cisco のバグ ID で確認するよう案内しています。

何をすればいい

勧告に載っているバグ ID で修正版を確かめ、ソフトウェアを更新してください。Cisco は、修正版への更新を強くすすめています。すぐに更新できない場合の回避策として、すべてのインターフェース（通信の出入り口）で受信の待ち行列の上限を 250 より大きくするか、あて先ポートが 0 の UDP の通信を止める ACL（通信を許すか拒むかの決まり）をすべてのインターフェースに設定する方法があります。あわせて公式の案内も確認してください。

やることチェックリスト

• バグ ID で修正版を確かめて更新する
• 受信の待ち行列の上限を 250 より大きくする
• 宛先ポート 0 の UDP を止める ACL を設定する

用語メモ

UDP

相手が受け取ったかを確かめずにデータを送る、手軽な通信の方式です。

サービス妨害

機器やサービスを止めたり重くしたりして、使えない状態にする攻撃です。DoS とも呼ばれます。

ACL

どの通信を通し、どの通信を止めるかを決めた一覧のルールです。

インターフェース

ネットワーク機器の、通信ケーブルなどがつながる出入り口のことです。