• ひとことでCisco IOS と IOS XE が、特定の UDP 通信をため込み通信できなくなる弱点です。
  • 深刻度7.5 重要CVSS v3.1
  • まずやることバグ ID で修正版を確かめて更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2017-6627
製品Cisco IOS and IOS XE Software
深刻度（CVSS）7.5 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
KEVへの追加日2022-03-03
米国政府機関の対応期限2022-03-24
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-399

何が起きた

Cisco IOS and IOS XE Software の UDP（ネットワーク通信の方式の一つ）の処理に、通信できなくなる弱点が見つかりました。あて先ポートが 0 の UDP の通信を送られると、受信の待ち行列（キュー）に UDP の通信がたまり、サービス妨害（機器を使えなくすること）が起きます。待ち行列は 250 個の通信を受け取るとそれ以上ためなくなります。攻撃者はネットワーク経由で、ログインなしに攻撃できます。実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者があて先ポート 0 の UDP を送る → 2. 受信の待ち行列に通信がたまる → 3. 待ち行列が詰まり通信できなくなる1攻撃者があて先ポート 0 の UDP を送る2受信の待ち行列に通信がたまる3待ち行列が詰まり通信できなくなる攻撃の流れ: 1. 攻撃者があて先ポート 0 の UDP を送る → 2. 受信の待ち行列に通信がたまる → 3. 待ち行列が詰まり通信できなくなる1攻撃者があて先ポート 0 の UDP を送る2受信の待ち行列に通信がたまる3待ち行列が詰まり通信できなくなる攻撃の流れ: 1. 攻撃者があて先ポート 0 の UDP を送る → 2. 受信の待ち行列に通信がたまる → 3. 待ち行列が詰まり通信できなくなる1攻撃者があて先ポート 0 の UDP を送る2受信の待ち行列に通信がたまる3待ち行列が詰まり通信できなくなる

誰が影響を受ける

Cisco IOS and IOS XE Software を使う機器が対象です。NVD の説明では、Cisco IOS 15.1、15.2、15.4 と IOS XE 3.14 から 3.18 が挙げられています。Cisco の勧告では、影響を受けるリリースと修正版は、勧告に載っている Cisco のバグ ID で確認するよう案内しています。

何をすればいい

勧告に載っているバグ ID で修正版を確かめ、ソフトウェアを更新してください。Cisco は、修正版への更新を強くすすめています。すぐに更新できない場合の回避策として、すべてのインターフェース（通信の出入り口）で受信の待ち行列の上限を 250 より大きくするか、あて先ポートが 0 の UDP の通信を止める ACL（通信を許すか拒むかの決まり）をすべてのインターフェースに設定する方法があります。あわせて公式の案内も確認してください。

やることチェックリスト

  • バグ ID で修正版を確かめて更新する
  • 受信の待ち行列の上限を 250 より大きくする
  • 宛先ポート 0 の UDP を止める ACL を設定する

用語メモ

UDP
相手が受け取ったかを確かめずにデータを送る、手軽な通信の方式です。
サービス妨害 用語集で見る
機器やサービスを止めたり重くしたりして、使えない状態にする攻撃です。DoS とも呼ばれます。
ACL 用語集で見る
どの通信を通し、どの通信を止めるかを決めた一覧のルールです。
インターフェース
ネットワーク機器の、通信ケーブルなどがつながる出入り口のことです。

次に読む

同じ製品・メーカーの脆弱性Cisco IOS and IOS XE Software（CVE-2017-6742）8.8 重要CVSS v3.1Cisco IOS と IOS XE の SNMP 機能で、遠くから命令を実行される弱点です。同じ製品・メーカーの脆弱性Cisco IOS and IOS XE Software（CVE-2018-0173）8.6 重要CVSS v3.1Cisco IOS と IOS XE の DHCP の中継機能に、機器を再起動させられる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Cisco IOS Software and Cisco IOS XE Software UDP Packet Processing Denial-of-Service Vulnerability

概要

A vulnerability in the UDP processing code of Cisco IOS and IOS XE could allow an unauthenticated, remote attacker to cause the input queue of an affected system to hold UDP packets, causing an interface queue wedge and denial of service.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る