Cisco Catalyst 4500 Series Switches and Cisco Catalyst 4500-X Series Switches の脆弱性（CVE-2018-0155）

何が起きた

Cisco Catalyst 4500 Series Switches と Cisco Catalyst 4500-X Series Switches の BFD（つながりが切れていないかをすばやく確かめる仕組み）の処理に、弱点が見つかりました。ヘッダーが欠けた細工した BFD メッセージを、スイッチあてに、またはスイッチを通り抜けるように送られると、iosd という処理が落ち、機器が再起動してサービス妨害（DoS）の状態になるおそれがあります。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。この弱点は、実際の攻撃で悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

弱点のある版の Cisco IOS Software または Cisco IOS XE Software を使い、BFD の機能が有効な、Catalyst 4500 の Supervisor Engine 6-E、6L-E、7-E、7L-E、Catalyst 4500E の Supervisor Engine 8-E、8L-E、9-E、Catalyst 4500-X Series Switches、Catalyst 4900M Switch、Catalyst 4948E Ethernet Switch が対象です。Cisco によると、IP Base 以上のライセンスでは BFD が最初から有効で、LAN Base のライセンスでは BFD は使えません。

何をすればいい

Cisco は修正したソフトウェアを公開しています。公式の案内を確認し、Cisco IOS Software Checker で使っている版が影響を受けるか確かめ、修正版に更新してください。BFD を使っていない場合は、feature bfd disable コマンドで機能を止められると Cisco は案内しています（Cisco IOS Software 15.2(1)E 以降と Cisco IOS XE Software 3.5.0E 以降で使えます）。BFD を使う場合は、CoPP で決まった相手からの BFD だけを受け付ける方法が示されています。

やることチェックリスト

• 影響を受ける版なら修正版に更新する
• BFD を使わないなら feature bfd disable で止める
• BFD を使うなら CoPP で相手を限定する

用語メモ

BFD

となりの機器との通信経路が生きているかを、短い間隔で確かめ合う仕組みです。

CoPP

機器そのものあての通信の量や種類を制限して、機器の頭脳部分を守るための設定です。

サービス妨害（DoS）

機器やサービスを止めたり重くしたりして、使えない状態にする攻撃のことです。