Cisco IOSソフトウェアのレイヤ2トンネリングプロトコル(L2TP)におけるDoS脆弱性

Cisco IOSソフトウェアのレイヤ2トンネリングプロトコル(L2TP)の実装には脆弱性が存在し、制限付きのCisco IOSソフトウェアリリースに影響します。

レイヤ2バーチャルプライベートネットワーク(L2VPN)、レイヤ2トンネルプロトコルバージョン3(L2TPv3)、Stack Group Bidding Protocol(SGBP)、およびCisco Virtual Private Dial-Up Networks(VPDN)などの複数の機能により、Cisco IOSソフトウェア内でL2TP管理デーモンプロセスが有効になります。このプロセスを有効にすると、デバイスに脆弱性が生じます。

この脆弱性により、特別に巧妙に細工されたL2TPパケットを処理する際にデバイスのリロードが発生します。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。

この脆弱性に対しては回避策があります。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-l2tp で公開されています。

注：2008年9月24日のIOSアドバイザリバンドル公開には12件のSecurity Advisoryが含まれています。11件のアドバイザリはCisco IOSソフトウェアの脆弱性に対処するもので、1件はCisco Unified Communications Managerの脆弱性に対処するものです。各アドバイザリには、このアドバイザリで説明されている脆弱性を修正するリリースが記載されています。

各ドキュメントへのリンクは次のとおりです。

• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosips
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ssl
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-sip
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-cucm
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-vpn
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-mfi
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ipc
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-ubr
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-multicast
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-sccp
  
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080924-iosfw
  

RFC2661、L2TP、およびRFC3931で文書化されているL2TPv3は、既存のネットワークを介した2つのピア間のネットワークトラフィックをトンネリングするためのプロトコルです。

該当するCisco IOSのバージョン12.2および12.4が稼働していて、L2TP mgmtデーモンプロセスが稼働しているデバイスでは、特別に巧妙に細工されたL2TPパケットの処理時にリロードが発生します。

いくつかの機能はL2TPプロトコルを活用し、Cisco IOS内でL2TP mgmtデーモンを起動します。これらの機能については、本アドバイザリの「脆弱性が存在する製品」セクションで説明しています。

この脆弱性は、Cisco Bug ID CSCsh48879(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2008-3813が割り当てられています。

この脆弱性に対しては次の回避策が確認されています。

注： L2TPの実装では、信頼できるアドレスからインフラストラクチャアドレスまで、UDP 1701を許可する必要があります。これは、送信元アドレスがスプーフィングされる可能性があるため、完全な緩和策にはなりません。

注：L2TPv3 over IPのみの実装では、任意の場所からインフラストラクチャアドレスへのすべてのUDP 1701を拒否する必要があります。

• インフラストラクチャ アクセス コントロール リスト
  ネットワークを通過するトラフィックを遮断することはしばしば困難ですが、インフラストラクチャ デバイスをターゲットとした許可すべきではないトラフィックを特定し、そのようなトラフィックをネットワークの境界で遮断することは可能です。Infrastructure Access Control Lists (iACLs) は、ネットワークセキュリティのベストプラクティスであり、特定の脆弱性に対する回避策であると同時に長期に渡って役立つネットワークセキュリティを付加することができます。以下の iACL の例は、Infrastructure access-list の一部として設定されるべきであり、インフラストラクチャ IP アドレスの範囲に含まれる IP アドレスを持つ全ての機器を防御します:
  

  
  !--- Permit L2TP UDP 1701 packets from all trusted
  !--- sources destined to infrastructure addresses.
  !--- NOTE: This does not prevent spoofed attacks.
  !---           To be a full mitigation, no trusted source
  !---           addresses should be listed.
  !---           Omit this line if using a L2TPv3 over IP implementation only.
  
  
  access-list 150 permit udp TRUSTED_SOURCE_ADDRESSES MASK  
     INFRASTRUCTURE_ADDRESSES MASK eq 1701
  
  
  !--- Deny L2TP UDP 1701 packets from all
  !--- sources destined to infrastructure addresses.
  
  
  access-list 150 deny udp any INFRASTRUCTURE_ADDRESSES MASK eq 1701
  
  
  !--- If using a L2TPv3 over IP implementation ensure to allow L2TPv3
  
  
  access-list 150 permit 115 <source_ip_address and mask> 
     <destination_ip_address and mask>
  
  
  !--- Permit/deny all other Layer 3 and Layer 4 traffic in accordance
  !--- with existing security policies and configurations
  !--- Permit all other traffic to transit the device.
  
  
  access-list 150 permit ip any any
  
  
  !--- Apply access-list to all interfaces (only one example shown)
  
  
  interface serial 2/0
  ip access-group 150 in

  ホワイトペーパー『Protecting Your Core: Infrastructure Protection Access Control Lists』には、アクセスリストによるインフラストラクチャ保護のガイドラインと推奨される導入方法が記載されています。このWhite Paperは、次のリンク先で入手できます。http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801a1a55.shtml
  
  
• コントロール プレーン ポリシング
  コントロールプレーンポリシング(CoPP)を使用して、デバイスへのL2TPアクセスをブロックできます。Cisco IOS ソフトウェア リリース 12.0S、12.2SX、12.2S、12.3T、12.4、および 12.4T は、CoPP 機能をサポートしています。管理およびコントロールプレーンを保護するために CoPP を機器に設定し、既存のセキュリティーポリシーとコンフィギュレーションに従って認定されたトラフィックだけがインフラストラクチャデバイス宛に送信されることを明示的に許可することで、インフラストラクチャへの直接攻撃のリスクとその効果を最小限に抑えることができます。下記の CoPP の例はインフラストラクチャ IP アドレスの範囲内にある IP アドレスを持つ全ての機器を保護するために定義される CoPP の一部として含まれるべき項目です:
  

  
  !--- Deny all trusted source L2TP UDP traffic sent to all IP addresses
  !--- configured on all interfaces of the affected device so that it
  !--- will not be policed by the CoPP feature.
  
  !--- NOTE: This does not prevent spoofed attacks.
  !---           To be a full mitigation, no trusted source
  !---           addresses should be listed.
  !---           Omit this line if using an L2TPv3 over IP implementation only.
  
  
  access-list 111 deny udp TRUSTED_SOURCE_ADDRESSES MASK  
     INFRASTRUCTURE_ADDRESSES MASK eq 1701
  
  
  !--- Permit all L2TP UDP traffic sent to all IP addresses
  !--- configured on all interfaces of the affected device so that it
  !--- will be policed and dropped by the CoPP feature
  
  
  access-list 111 permit udp any INFRASTRUCTURE_ADDRESSES MASK eq 1701
  
  
  !--- If using an L2TPv3 over IP implementation ensure not to drop L2TPv3
  
  
  access-list 111 deny 115 <source_ip_address and mask> 
     <destination_ip_address and mask>  
  
  
  !--- Permit (Police or Drop)/Deny (Allow) all other Layer3 and Layer4
  !--- traffic in accordance with existing security policies and
  !--- configurations for traffic that is authorized to be sent
  !--- to infrastructure devices
  
  !--- Create a Class-Map for traffic to be policed by
  !--- the CoPP feature
  
  
  
  class-map match-all drop-l2tp-class
  match access-group 111
  
  
  
  !--- Create a Policy-Map that will be applied to the
  !--- Control-Plane of the device.
  
  
  
  policy-map drop-l2tp-traffic
  class drop-l2tp-class
  drop
  
  
  
  !--- Apply the Policy-Map to the 
  !--- Control-Plane of the device
  
  
  control-plane
  
  service-policy input drop-l2tp-traffic

  上記の CoPP の例では、"permit" アクションであるアクセスコントロールリストエントリ (ACE) に該当し、攻撃である可能性のあるパケットは、policy-map の "drop" 機能により廃棄されますが、一方、"deny" アクション(記載されていません)に該当するパケットは、policy-map の "drop" 機能の影響を受けません。policy-map の構文は、12.2S と 12.0S Cisco IOS トレインでは異なるので注意が必要です:
  

  policy-map drop-l2tp-traffic
  class drop-l2tp-class
  police 32000 1500 1500 conform-action drop exceed-action drop

  CoPP機能の設定と使用方法の詳細については、次のリンク先を参照してください。http://www.cisco.com/web/about/security/intelligence/coppwp_gs.html
  

ネットワーク内のCiscoデバイスに適用可能な他の対応策は、このアドバイザリに関連するCisco適用対応策速報(https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20080924-l2tp)を参照してください。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、Cisco IOS のリリース トレインが記載されています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（および、それぞれの予想提供日）が表の「第 1 修正済みリリース」列に記載されます。「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、シスコの社内テストで発見されました。