Cisco IOS Software and Cisco IOS XE Software の脆弱性（CVE-2018-0158）

何が起きた

Cisco IOS Software と Cisco IOS XE Software の IKE（VPN の暗号の鍵を決めるための仕組み）の処理に弱点が見つかりました。細工したパケットを送られると、メモリが少しずつ使われたまま戻らなくなり（メモリリーク）、最後は機器が再起動してサービス妨害（DoS）の状態になるおそれがあります。KEV の概要は IKEv1 の弱点と書いていますが、NVD の説明と Cisco の勧告は IKEv2 の処理の弱点と説明しています。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされ、実際の攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

弱点のある版の Cisco IOS Software または Cisco IOS XE Software を使い、ISAKMP が有効な Cisco の機器が対象です。Cisco によると、IKEv2 を特に設定していなくても、ISAKMP が有効なら IKEv2 も自動で有効になるため影響を受けます。Cisco IOS XR Software と Cisco NX-OS Software は影響を受けません。

何をすればいい

Cisco は修正したソフトウェアを公開しており、回避策はないとしています。公式の案内を確認し、Cisco IOS Software Checker で使っている版が影響を受けるか確かめ、修正版に更新してください。Cisco は、show processes memory コマンドで GKM GM Process の使うメモリが増え続けていないかを、悪用のしるしとして確かめる方法を示しています。

やることチェックリスト

• Cisco IOS Software Checker で版を調べる
• 影響を受ける版なら修正版に更新する
• GKM GM Process のメモリの増加を確認する

用語メモ

IKEv2

VPN で使う暗号の鍵を、通信する相手と安全に決めるための仕組みの第2版です。

ISAKMP

IKE の土台になる、鍵の交換や暗号の設定の取り決めを行うための仕組みです。

メモリリーク

使い終わったメモリが解放されずに残り、使えるメモリが少しずつ減っていく不具合です。

サービス妨害（DoS）

機器やサービスを止めたり重くしたりして、使えない状態にする攻撃のことです。