Cisco IOS XR の脆弱性（CVE-2022-20821）

何が起きた

Cisco IOS XR のヘルスチェック（機器の状態を確かめる機能）の部品を有効にすると、TCP の 6379 番ポートが初めから開いてしまう弱点が見つかりました。実際に悪用されたことが確認されており、Cisco も 2022 年 5 月に悪用の試みを把握したとしています。攻撃者はログイン不要で、ネットワーク経由で開いたポートにつなぎ、NOSi というコンテナの中で動く Redis に書き込んだり、情報を取り出したりできます。Cisco によると、コンテナの作りのため、機器本体で任意のコードを実行したり本体を書き換えたりすることはできません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco の公式情報によると、影響を受けるのは、問題のある版の IOS XR を動かしていて、ヘルスチェックの部品が入って有効になっている Cisco 8000 Series Routers です。問題があるのは 7.3.3 で、7.3.3 向けの修正パッチ（SMU）か 7.3.4 で修正されています。

何をすればいい

機器で run docker ps というコマンドを実行し、NOSi という名前のコンテナが動いていれば影響を受ける状態です。Cisco が勧める方法は、ヘルスチェックを無効にして部品を取り除くことです。ほかに、アクセス制御リストで 6379 番ポートへの通信を止める方法もあります。修正としては 7.3.4 にするか、7.3.3 向けの修正パッチ（SMU）を手順どおりに入れてください。公式の案内を確認して対応してください。

やることチェックリスト

• run docker ps で NOSi が動いているか調べる
• ヘルスチェックを無効にして部品を取り除く
• IOS XR を 7.3.4 にするか修正パッチを入れる

用語メモ

ポート 用語集で見る

ネットワークで通信を受け付ける入り口の番号です。開いているポートには外からつなぐことができます。

Redis

データをメモリーに置いて素早く読み書きするためのデータベースのソフトです。

コンテナ

ソフトを他の部分から切り分けて動かすための仕組みです。

アクセス制御リスト

どこからどこへの通信を通すか、止めるかを決めておく一覧です。