Cisco IOS Software and Cisco IOS XE Software の脆弱性（CVE-2018-0159）

何が起きた

Cisco IOS Software と Cisco IOS XE Software の IKEv1（VPN の暗号の鍵を決めるための仕組み）の処理に、特定のパケットの確認が不十分な弱点が見つかりました。鍵のやり取りの途中に細工した IKEv1 パケットを送られると、機器が再起動してサービス妨害（DoS）の状態になるおそれがあります。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。この弱点は、実際の攻撃で悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

弱点のある版の Cisco IOS Software または Cisco IOS XE Software を使い、ISAKMP が有効な Cisco の機器が対象です。IKEv1 と IKEv2 のどちらの設定でも、細工したパケットを処理するため影響を受けると Cisco は説明しています。拠点間の VPN やリモートアクセス VPN（SSL VPN は除く）など、多くの機能が IKE を使います。Cisco IOS XR Software と Cisco NX-OS Software は影響を受けません。

何をすればいい

Cisco は修正したソフトウェアを公開しており、回避策はないとしています。公式の案内を確認し、Cisco IOS Software Checker で使っている版が影響を受けるか確かめ、修正版に更新してください。機器が IKE を処理しているかは、UDP の 500、848、4500、4848 番ポートが開いているかで確かめられると Cisco は説明しています。悪用されると機器が再起動して crashinfo ファイルが作られるため、その内容の確認を Cisco TAC に依頼するよう案内されています。

やることチェックリスト

• Cisco IOS Software Checker で版を調べる
• 影響を受ける版なら修正版に更新する
• 再起動時の crashinfo を Cisco TAC に見てもらう

用語メモ

IKEv1

VPN で使う暗号の鍵を、通信する相手と安全に決めるための仕組みの第1版です。

ISAKMP

IKE の土台になる、鍵の交換や暗号の設定の取り決めを行うための仕組みです。

VPN

インターネットの上に、暗号で守られた専用の通り道を作る技術です。

サービス妨害（DoS）

機器やサービスを止めたり重くしたりして、使えない状態にする攻撃のことです。