Cisco IOS XR の脆弱性（CVE-2020-3566）

何が起きた

Cisco IOS XR Software の DVMRP という機能に、IGMP の通信をうまく扱えない弱点が見つかりました。細工した IGMP の通信を送られると、IGMP の処理がすぐに止まったり、メモリを使い果たしたりして、経路を決める仕組みなど、ほかの処理も不安定になるおそれがあります。NVD の評価では、ログインしていない攻撃者が、ネットワーク経由で離れた場所から悪用できます。Cisco は実際に悪用の試みがあったことを把握しており、CISA の KEV にも掲載されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco IOS XR Software を使う機器のうち、マルチキャストルーティングの設定に有効なインターフェースがあり、DVMRP の通信を受け取っているものが対象です。Cisco によると、この条件にあてはまれば、IOS XR Software のどのリリースも影響を受けます。show igmp interface の結果が空なら、マルチキャストルーティングは有効になっておらず、影響を受けません。

何をすればいい

Cisco は、この問題を直す SMU（ソフトウェアの保守用の修正）を出しているので、お使いのリリースに合うものを適用してください。回避策はありませんが、緩和策として、インターフェースの ACL で受け取る DVMRP の通信を拒否する方法と、IGMP の通信量を制限する方法が示されています。通信量の制限はメモリを使い果たす場合にしか効かず、処理がすぐ止まる場合に効くのは ACL だけです。同じ勧告で扱われている CVE-2020-3569 も含めて、公式の案内（Cisco のセキュリティ勧告）を確認してください。

やることチェックリスト

• show igmp interface で影響の有無を確認する
• ACL で受け取る DVMRP の通信を拒否する
• リリースに合う修正の SMU を適用する

用語メモ

DVMRP

マルチキャスト（同じデータを複数の相手に一度に届ける通信）の経路を決めるための古い仕組みです。

IGMP

マルチキャストの通信を受け取りたい機器が、ルーターにそのことを伝えるための仕組みです。

ACL 用語集で見る

アクセス制御リストの略で、どの通信を通し、どの通信を止めるかを決める設定の一覧です。

SMU

Cisco IOS XR で、特定の不具合だけを直すために配られる修正パッチです。