Cisco IOS and IOS XE Software のリモートコード実行の脆弱性（CVE-2018-0151）

何が起きた

Cisco IOS Software と Cisco IOS XE Software の QoS（通信の優先順位を管理する仕組み）の処理に、UDP の 18999 番ポートあてのパケットの値の範囲を正しく確かめない弱点が見つかりました。細工したパケットを送られるとメモリがあふれ（バッファオーバーフロー）、高い権限で任意の（攻撃者が好きに選べる）プログラムを動かされたり、機器が再起動してサービス妨害（DoS）になったりするおそれがあります。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。この弱点は、実際の攻撃で悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

弱点のある版の Cisco IOS Software または Cisco IOS XE Software を使う Cisco の機器が対象です。攻撃のパケットは機器あてに届いて処理される必要があり、機器を通り抜けるだけの通信では起きないと Cisco は説明しています。Cisco IOS XR Software と Cisco NX-OS Software は影響を受けません。

何をすればいい

Cisco は修正したソフトウェアを公開しています。公式の案内を確認し、show udp コマンドで UDP の 18999 番ポートが開いているかを確かめ、開いていれば Cisco IOS Software Checker で版を調べて修正版に更新してください。Adaptive QoS for DMVPN の機能を使っていない場合は、CoPP で 18999 番あての通信をすべて捨てる回避策が示されています。ただし Cisco ASR 900 Series など一部の機種では回避策が使えず、更新が必要です。

やることチェックリスト

• show udp で 18999 番ポートの開放を確認する
• 影響を受ける版なら修正版に更新する
• 未使用なら CoPP で 18999 番あてを捨てる

用語メモ

QoS

大事な通信を優先して流すなど、通信の質を管理するための仕組みです。

UDP

相手に届いたかを確かめずに、すばやくデータを送る通信の決まりごとです。

バッファオーバーフロー

決められた大きさのメモリの入れ物に、それを超えるデータが書き込まれてしまう不具合です。

CoPP

機器そのものあての通信の量や種類を制限して、機器の頭脳部分を守るための設定です。