Cisco IOSソフトウェアの複数の機能におけるIPソケットの脆弱性

IPソケットの処理における脆弱性により、Cisco IOS^?ソフトウェアが有効になっている。巧妙に細工された一連のTCP/IPパケットによって、次のような結果が生じる可能性があります。

• 設定された機能は、新しい接続またはセッションの受け入れを停止する可能性があります。
• デバイスのメモリが消費される可能性があります。
• デバイスのCPU使用率が長時間にわたって高くなることがあります。
• デバイスがリロードする可能性があります。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。

このアドバイザリの「回避策」セクションでは、いくつかの緩和策について説明しています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-ip で公開されています。

注：2009年3月25日のCisco IOSセキュリティアドバイザリバンドル公開には8件のSecurity Advisoryが含まれています。これらのアドバイザリはすべて、Cisco IOSソフトウェアの脆弱性に対処するものです。各アドバイザリには、そのアドバイザリに記載された脆弱性を修正するリリースが記載されています。

各ドキュメントへのリンクは次のとおりです。

• Cisco IOS cTCPのDoS脆弱性
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-ctcp
• Cisco IOSソフトウェアの複数の機能におけるIPソケットの脆弱性
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-ip
• Cisco IOSソフトウェアモバイルIPおよびモバイルIPv6の脆弱性
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-mobileip
• Cisco IOSソフトウェアのSecure Copyにおける権限昇格の脆弱性
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-scp
• Cisco IOSソフトウェアのSession Initiation ProtocolにおけるDoS脆弱性
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-sip
• Cisco IOSソフトウェアの複数の機能における巧妙に細工されたTCPシーケンスの脆弱性
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-tcp
• Cisco IOSソフトウェアの複数機能における巧妙に細工されたUDPパケットの脆弱性
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-udp
• Cisco IOSソフトウェアのWebVPNおよびSSLVPNの脆弱性
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-webvpn

この脆弱性の不正利用を成功させるには、このセクションで説明されている機能のいずれかに対応するTCPポート番号に対して、TCP 3ウェイハンドシェイクを完了する必要があります。

Cisco Unified Communications Manager Express

次の設定は、異なるCisco Unified Communications Manager Expressサービスに対して脆弱です。

Certificate Authority Proxy Function(CAPF)サーバが設定されている。

次の例は、脆弱性のあるCAPFサーバ設定を示しています。

capf-server
 auth-mode null-string
 cert-enroll-trustpoint root password 1 104D000A061843595F
 trustpoint-label cme_cert
 source-addr 10.0.0.1

CAPFサーバに使用されるデフォルトのTCPポートは3804です。

CAPFサーバの詳細については、『Cisco Unified Communications Manager Express System Administrator Guide』(http://www.cisco.com/en/US/docs/voice_ip_comm/cucme/admin/configuration/guide/cmeauth.html#wp1085744)を参照してください。

テレフォニーサービスのセキュリティパラメータが設定されている。

テレフォニーサービスのセキュリティパラメータが「device-security-mode」で設定されている場合、そのデバイスには脆弱性が存在します。次の例は、telephony-serviceセキュリティパラメータの脆弱性のある3つの設定を示しています。

ephone 1
 device-security-mode encrypted

ephone 2
 device-security-mode authenticated

ephone 3
 device-security-mode none

使用されるTCPポートは、テレフォニーサービス設定コマンドの「ip source-address <address> port <port-number>」で定義されます。

テレフォニーサービスのセキュリティパラメータの詳細については、『Cisco Unified Communications Manager Express System Administrator Guide』(http://www.cisco.com/en/US/docs/voice_ip_comm/cucme/admin/configuration/guide/cmeauth.html#wp1080079)を参照してください。

グローバルテレフォニーサービスまたはcall-manager-fallbackコマンドが設定されている。

グローバルな「telephony-service」または「call-manager-fallback」コマンドが設定されているCisco IOSコンフィギュレーションは、サブコマンドがtelephony-serviceまたはcall-manager-fallbackコンフィギュレーションモードである場合に脆弱です。次の例は、脆弱性のある設定を示しています。

telephony-service
 ip source-address 192.168.0.1 port 2011

または

call-manager-fallback
 ip source-address 192.168.0.1 port 2011

使用されるTCPポートは、「ip source-address <address> port <port-number>」設定コマンドで定義されます。

telephony serviceおよびcall-manager-fallbackの詳細については、『Cisco Unified Communications Manager Express System Administrator Guide』(http://www.cisco.com/en/US/docs/voice_ip_comm/cucme/admin/configuration/guide/cmesystm.html)を参照してください。

TLSトランスポートでのSIPゲートウェイシグナリングサポート

注：SIPが有効なデバイスを使用しているお客様は、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20090325-sipでドキュメント『Cisco Security Advisory: Cisco IOS Session Initiation Protocol Denial of Service Vulnerability』も参照してください。

TLSトランスポートを介したSIPゲートウェイシグナリングサポートが設定されているデバイスには脆弱性が存在します。次の例は、脆弱性のある設定を示しています。

voice service voip 
 sip
  session transport tcp tls
  url sips

--または--

dial-peer voice 3456 voip
 voice-class sip url sips
 session protocol sipv2
 session transport tcp tls

TLSトランスポートを介したSIPゲートウェイシグナリングのサポートが正しく機能するためには、管理者はまず次の設定を使用してトラストポイントを設定する必要があります。

sip-ua
     crypto signaling default trustpoint example_trustpoint_name

TLSトランスポート機能を介したSIPゲートウェイシグナリングサポートで使用されるデフォルトのTCPポートは5061です。

Cisco IOS SIPゲートウェイシグナリングのTLSトランスポート経由のサポートの詳細については、http://www.cisco.com/en/US/docs/ios/12_4t/12_4t11/FeatTLS.htmlにあるCisco IOSソフトウェアリリース12.4T機能ガイドを参照してください。

セキュアなシグナリングとメディア暗号化

デバイスは、DSPファーム会議機能のメディアおよびシグナリング暗号化(SRTP/TLS)、またはSkinny Call Control Protocol(SCCP)を使用するアナログ電話機のセキュアシグナリングおよびメディア暗号化で設定されている場合、脆弱性の影響を受けます。

次の例は、脆弱性のある3つの異なるセキュアDSPファーム設定を示しています。証明書やSCCP設定など、完全な設定には他の部分が必要ですが、これらの部分は簡略化のために除外されています。

dspfarm profile 2 transcode security
 trustpoint 2851ClientMina
 codec g711ulaw
 codec g711alaw
 codec g729ar8
 codec g729abr8
 codec gsmfr
 codec g729r8
 codec g729br8
 maximum sessions 3
 associate application SCCP

dspfarm profile 3 conference security
 trustpoint sec2800-cfb
 codec g711ulaw
 codec g711alaw
 codec g729ar8
 codec g729abr8
 codec g729r8
 codec g729br8
 maximum sessions 2
 associate application SCCP

dspfarm profile 5 mtp security
 trustpoint 2851ClientMina
 codec g711alaw
 maximum sessions hardware 1
 associate application SCCP

DSPファーム会議上のメディアおよびシグナリング暗号化に使用されるデフォルトのTCPポートは2443です。

DSPファーム会議機能でのメディアおよびシグナリングの暗号化についての詳細は、次のリンクにある『Cisco IOSソフトウェアリリース12.4早期配布特別版』のhttp://www.cisco.com/en/US/docs/ios/12_4t/12_4t15/itsdsp.htmlを参照してください。

次の出力は、『アナログ電話機用のセキュアなシグナリングとメディア暗号化』の関連セクションを示しており、脆弱な設定です（証明書、SCCP設定、ダイヤルピアなど、完全な設定には他のいくつかの部分が必要です）。

!--- The following lines show SCCP Telephony Control Application 
!--- (STCAPP) security enabled at the system level:

stcapp ccm-group 1
stcapp security trustpoint analog
stcapp security mode encrypted
stcapp 

<-- output removed for brevity -->

dial-peer voice 5002 pots
service stcapp

!--- The following line shows the security mode configured on the 
!--- dial peer.

security mode authenticated
port 2/1 

アナログ電話のメディアおよびシグナリング暗号化に使用されるデフォルトのTCPポートは2443です。

アナログ電話のメディアおよびシグナリング暗号化の詳細については、次のリンクの「Supplementary Services Features for FXS Ports on Cisco IOS Voice Gateways Configuration Guide, Release 12.4T」を参照してください。http://www.cisco.com/en/US/docs/ios/voice/fxs/configuration/guide/fsxsecur.html。

Extensible Exchange Protocol(EXIP)のブロック

トランスポートプロトコルとしてBlocks Extensible Exchange Protocol(BEEP)を利用する設定コマンドまたは実行可能コマンドには、脆弱性が存在します。次の例は、NETCONF over BEEP機能の脆弱な設定を示しています。SASLを使用したNETCONF over BEEPにも脆弱性が存在します。

crypto key generate rsa general-keys 
crypto pki trustpoint my_trustpoint 
enrollment url http://10.2.3.3:80
subject-name CN=dns_name_of_host.com
revocation-check none 
 
crypto pki authenticate my_trustpoint 
crypto pki enroll my_trustpoint 

line vty 0 15 
netconf lock-time 60 
netconf max-sessions 16 

netconf beep initiator host1 23 user my_user password 
   my_password encrypt my_trustpoint 
reconnect-time 60 

netconf beep listener 23 sasl user1 encrypt my_trustpoint

使用されるTCPポートは、「netconf beep initiator」および「netconf beep listener」設定コマンドで定義されます。

NETCONF over BEEPの詳細については、次のリンクにある『Cisco IOS Software Release 12.4T feature guide』http://www.cisco.com/en/US/docs/ios/12_4t/12_4t11/htnetbe.html#wp1049404を参照してください。

BEEP実行コマンド「bingd」および「bingng」により、この脆弱性が呼び出されたときにトリガーされる可能性があります。次に、これらのコマンドの実行例を示します。

bingng device 192.168.0.1 23
bingd device 23

ネットワークアドミッションコントロールHTTP認証プロキシ

Network Admission Control（NAC；ネットワークアドミッションコントロール）HTTP認証プロキシが設定されているデバイスには脆弱性が存在します。デバイスが脆弱であるためには、認証プロキシルールが存在し、インターフェイスに適用されている必要があります。

次の設定では、認証プロキシルールを作成します。

ip admission name example-ap-rule-name proxy http

次の設定では、前の例で作成した認証プロキシルールをインターフェイスに適用しています。

interface GigabitEthernet 0/0
 ip admission example-ap-rule-name

ネットワークアドミッションコントロール(NAC)HTTP認証プロキシに使用されるデフォルトのTCPポートは80です。

Network Admission Control（NAC；ネットワークアドミッションコントロール）HTTP認証プロキシの詳細については、『Cisco IOS Security Configuration Guide, Release 12.4』(http://www.cisco.com/en/US/docs/ios/security/configuration/guide/sec_net_admssn_ctrl_external_docbase_0900e4b1805b0530_4container_external_docbase_0900e4b1807b01dc.html#wp1053991)を参照してください。

EAPoUDP、Dot1x、およびMAC認証バイパスのためのユーザごとのURLリダイレクト

URLリダイレクト機能が設定されているデバイスには脆弱性が存在します。URLリダイレクトは、EAP over UDP(EAPoUDP)、Dot1x、およびMAC認証バイパス(MAB)認証メカニズムでサポートされています。URLリダイレクト設定は、サーバ上で行うことも、ローカルに定義されたプロファイルまたはポリシーの一部として設定することもできます。両方の設定に脆弱性が存在します。次のいずれかの設定のデバイスには脆弱性が存在します。

EAPoUDPに対するURLリダイレクト機能の有効化

URLリダイレクト機能は、次のグローバルコンフィギュレーションコマンドを使用してEAPoUDPに対して有効にします。

ip admission name <EAPoUDP-rule-name> eapoudp

次の設定では、前の例で作成したEAPoUDPルールをインターフェイスに適用します。

ip admission name <EAPoUDP-rule-name>

Dot1xおよびMABに対するURLリダイレクト機能の有効化

Dot1xとMABの両方のURLリダイレクト機能には脆弱性があり、次のような方法で定義されたRADIUSサーバ上にURLリダイレクトAVペアが存在します。

url-redirect="http://example.com"
url-redirect="urlacl"

Dot1xおよびMAB URLリダイレクト機能がスイッチで正常に動作するには、最低限、次の設定も必要です。URLリダイレクト用のインターフェイス固有の設定はありません。基本的に、インターフェイスはDot1x/MAB用に設定する必要があります。

ip http {server | secure-server}
ip device tracking

EAPoUDP、Dot1x、およびMABに対するユーザごとのURLリダイレクトに使用されるデフォルトのTCPポートは80および443です。

EAPoUDP、Dot1x、およびMABに対するユーザごとのURLリダイレクトの詳細については、『Catalyst 4500 Series Switch Software Configuration Guide, 12.2(50)SG』(http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.2/50sg/configuration/guide/dot1x.html#wp1311079)を参照してください。

HTTPリダイレクトを使用するDistributed Director

Distributed DirectorがHTTPリダイレクトを使用して設定されている場合、デバイスに脆弱性が存在します。次の例は、脆弱性のある設定を示しています。

ip director ip-address 192.168.0.1

HTTPリダイレクトでDistributed Directorに使用されるデフォルトのTCPポートは53です。

HTTPリダイレクトを使用するDistributed Directorの詳細については、http://www.cisco.com/en/US/products/hw/contnetw/ps813/products_tech_note09186a00801fa9dd.shtml#topic8bの「Distributed Director Configuration Example Overview」を参照してください。

DNS

Cisco IOS DNS機能が設定されているデバイスには脆弱性が存在します。純粋なDNS over UDP実装には脆弱性はありません。デバイスへのDNS over TCPトラフィックのフィルタリングについては、このアドバイザリの「回避策」セクションを参照してください。次の例に示すコマンドのいずれかがデバイス設定に含まれている場合、そのデバイスには脆弱性が存在します。

ip dns server
ip dns primary example.com soa www.example.com admin@example.com
ip dns spoofing 192.168.0.1

DNSに使用されるデフォルトのTCPポートは53です。

Cisco IOS DNSの詳細については、次のリンクにある『Cisco IOS IP Addressing Services Configuration Guide, Release 12.4』を参照してください。http://www.cisco.com/en/US/docs/ios/ipaddr/configuration/guide/iad_config_dns_ps6350_TSD_Products_Configuration_Guide_Chapter.html

この脆弱性は、Cisco Bug ID CSCsm27071 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2009-0630が割り当てられています。

この脆弱性に対する次の緩和策が確認されています。

インフラストラクチャ アクセス コントロール リスト

ネットワークを通過するトラフィックを遮断することはしばしば困難ですが、インフラストラクチャ デバイスをターゲットとした許可すべきではないトラフィックを特定し、そのようなトラフィックをネットワークの境界で遮断することは可能です。Infrastructure Access Control Lists (iACLs) は、ネットワークセキュリティのベストプラクティスであり、特定の脆弱性に対する回避策であると同時に長期に渡って役立つネットワークセキュリティを付加することができます。以下の iACL の例は、Infrastructure access-list の一部として設定されるべきであり、インフラストラクチャ IP アドレスの範囲に含まれる IP アドレスを持つ全ての機器を防御します:

!--- Only sections pertaining to features enabled on the device
!--- need be configured.
!---
!--- Feature: Cisco Unified Communications Manager Express 
!---
!--- CAPF server configuration
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 3804


!---
!--- Telephony-Service configuration
!--- The TCP port is as per the ip source-address
!---  port  telephony
!--- service configuration command.  Example below 2999
!--- 


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 2999


!---
!--- Deny Cisco Unified Communications Manager Express traffic 
!--- from all other sources destined to infrastructure addresses.
!---


access-list 150 deny tcp any 
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 3804
access-list 150 deny tcp any 
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 2999


!---
!--- Feature: SIP Gateway Signaling Support Over TLS Transport
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 5061


!--- Deny SIP Gateway Signaling Support Over TLS Transport 
!--- traffic from all other sources destined to infrastructure 
!--- addresses.


access-list 150 deny tcp any 
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 5061


!---
!--- Feature: Secure Signaling and Media Encryption
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 2443


!--- Deny Secure Signaling and Media Encryption traffic from all 
!--- other sources destined to infrastructure addresses.


access-list 150 deny tcp any 
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 2443


!---
!--- Feature: Blocks Extensible Exchange Protocol (BEEP)
!--- The TCP port used is defined with the netconf beep initiator 
!--- and netconf beep listener configuration
!--- commands.  This example uses 3001
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 3001


!--- Deny BEEP traffic from all other sources destined to 
!--- infrastructure addresses.


access-list 150 deny tcp any 
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 3001


!---
!--- Feature: Network Admission Control HTTP Authentication Proxy
!--- and
!--- Per-user URL Redirect for EAP over UDP, Dot1x and MAC 
!--- Authentication Bybass
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 80
access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 443


!---
!--- Deny Network Admission Control HTTP Authentication Proxy
!--- and
!--- Per-user URL Redirect for EAP over UDP, Dot1x and MAC 
!--- Authentication Bybass traffic to infrastructue
!---


access-list 150 deny tcp any 
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 80
access-list 150 deny tcp any 
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 443


!---
!--- Features: Distributed Director with HTTP Redirects and DNS
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 53


!--- Deny Distributed Director with HTTP Redirects traffic and DNS 
!--- from all other sources destined to infrastructure addresses.


access-list 150 deny tcp any 
     INFRASTRUCTURE_ADDRESSES WILDCARD eq 53


!--- Permit/deny all other Layer 3 and Layer 4 traffic in 
!--- accordance with existing security policies and configurations
!--- Permit all other traffic to transit the device.


access-list 150 permit ip any any


!--- Apply access-list to all interfaces (only one example shown)


interface serial 2/0
ip access-group 150 in

ホワイトペーパー『Protecting Your Core: Infrastructure Protection Access Control Lists』には、アクセスリストによるインフラストラクチャ保護のガイドラインと推奨される導入方法が記載されています。このWhite Paperは、次のリンク先で入手できます。http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801a1a55.shtml

受信ACL(rACL)

分散型のプラットフォームにおいては、Cisco12000 シリーズ(GSR) では 12.0(21)S2、 Cisco7500 シリーズでは 12.0(24)S、Cisco10720 シリーズでは 12.0(31)S の IOS ソフトウェアにてサポートされている Receive ACL も選択肢となります。受信 ACL は、ルート プロセッサが有害なトラフィックの影響を受ける前に、そのトラフィックからデバイスを保護します。受信 ACL は、それが設定されたデバイスのみを保護する設計になっています。Cisco 12000, 7500, 10720 では通過トラフィックは Receive ACL による影響を受けません。このため、以下の ACL の例において宛先 IP アドレス "any" が用いられても、自ルータの物理あるいは仮想 IP アドレスのみが参照されます。受信 ACL はネットワーク セキュリティのベスト プラクティスと考えられており、ここでの特定の脆弱性の回避策としてだけでなく、優れたネットワーク セキュリティへの長期的な付加機能として考慮する必要があります。ホワイトペーパー『GSR: Receive Access Control Lists』では、デバイスへの正当なトラフィックを識別して許可し、望ましくないパケットをすべて拒否することができます。このWhite Paperは、次のリンク先で入手できます。http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801a0a5e.shtml

次の receive path ACL は信頼できるホストからのこのようなタイプのトラフィックを許可するように記述されています。

!---
!--- Only sections pertaining to features enabled on the device
!--- need be configured.
!---

!---
!--- Feature: Cisco Unified Communications Manager Express 
!---
!---

!---
!--- Permit CAPF server traffic from trusted hosts allowed to 
!--- the RP.
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     any eq 3804


!---
!--- Telephony-Service configuration
!---

!---
!--- The TCP port is as per the ip source-address
!--- 
 port  telephony-service 
!--- configuration command.  Example below 2999
!---
!--- Permit Telephony-Service traffic from trusted hosts allowed 
!--- to the RP.


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     any eq 2999


!---
!--- Deny Cisco Unified Communications Manager Express 
!--- traffic from all other sources to the RP.
!---


access-list 150 deny tcp any any eq 3804
access-list 150 deny tcp any any eq 2999


!---
!--- Permit SIP Gateway Signaling Support Over TLS Transport
!--- traffic from trusted hosts allowed to the RP.
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     any eq 5061


!---
!--- Deny SIP Gateway Signaling Support Over TLS Transport 
!--- traffic from all other sources to the RP.
!---



access-list 150 deny tcp any any eq 5061


!---
!--- Permit Secure Signaling and Media Encryption traffic 
!--- from trusted hosts allowed to the RP.
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     any eq 2443


!---
!--- Deny Secure Signaling and Media Encryption traffic from 
!--- all other sources to the RP.
!---


access-list 150 deny tcp any any eq 2443


!---
!--- Feature: Blocks Extensible Exchange Protocol (BEEP)
!--- The TCP port used is defined with the netconf beep initiator 
!--- and netconf beep listener configuration commands.  
!--- This example uses 3001
!---

!---
!--- Permit BEEP traffic from trusted hosts allowed to the RP.
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     any eq 3001


!---
!--- Deny BEEP traffic from all other sources to the RP.
!---


access-list 150 deny tcp any any eq 3001


!---
!--- Feature: Network Admission Control HTTP Authentication Proxy
!--- and
!--- Per-user URL Redirect for EAP over UDP, Dot1x and MAC 
!--- Authentication Bybass
!---

!---
!--- Permit Per-user URL Redirect for EAP over UDP, Dot1x and MAC 
!--- Authentication Bybass traffic from trusted hosts allowed to 
!--- the RP.
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     any eq 80
access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     any eq 443
 

!---
!--- Deny Network Admission Control HTTP Authentication Proxy
!--- and
!--- Per-user URL Redirect for EAP over UDP, Dot1x and MAC 
!--- Authentication Bybass traffic from all other sources to 
!--- the RP.
!---


access-list 150 deny tcp any any eq 80
access-list 150 deny tcp any any eq 443


!---
!--- Features: Distributed Director with HTTP Redirects and DNS
!---

!---
!--- Permit Distribute Director and DNS traffic from trusted hosts
!--- allowed to the RP.
!---


access-list 150 permit tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
     any eq 53


!---
!--- Deny distributed director and DNS traffic from all other 
!--- sources to the RP.
!---


access-list 150 deny tcp any any eq 53


!---
!--- Permit all other traffic to the RP.
!--- according to security policy and configurations.
!---


access-list 150 permit ip any any


!---
!--- Apply this access list to the 'receive' path.
!---


ip receive access-list 150

コントロール プレーン ポリシング

Control Plane Policing(CoPP)を使用して、影響を受ける機能のデバイスへのTCPトラフィックアクセスをブロックできます。Cisco IOS ソフトウェア リリース 12.0S、12.2SX、12.2S、12.3T、12.4、および 12.4T は、CoPP 機能をサポートしています。管理およびコントロールプレーンを保護するために CoPP を機器に設定し、既存のセキュリティーポリシーとコンフィギュレーションに従って認定されたトラフィックだけがインフラストラクチャデバイス宛に送信されることを明示的に許可することで、インフラストラクチャへの直接攻撃のリスクとその効果を最小限に抑えることができます。下記の CoPP の例はインフラストラクチャ IP アドレスの範囲内にある IP アドレスを持つ全ての機器を保護するために定義される CoPP の一部として含まれるべき項目です:

!---
!--- Only sections pertaining to features enabled on the device
!--- need be configured.
!---
!--- Feature: Cisco Unified Communications Manager Express
!---
!--- CAPF Server configuration
!---


access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
   any eq 3804


!---

!--- Telephony-Service configuration
!--- The TCP port is as per the ip source-address
!--- 
 port  telephony-service
!--- configuration command.  Example below 2999
!---


access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
   any eq 2999


!---
!--- Permit Cisco Unified Communications Manager Express traffic 
!--- sent to all IP addresses configured on all interfaces of 
!--- the affected device so that it will be policed and dropped
!--- by the CoPP feature
!---
!--- CAPF server configuration
!---


access-list 150 permit tcp any any eq 3804


!---
!--- Telephony-Service configuration
!---


access-list 150 permit tcp any any eq 2999


!---
!--- Feature: SIP Gateway Signaling Support Over TLS Transport
!---


access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
   any eq 5061


!---
!--- Permit SIP Gateway Signaling Support Over TLS Transport 
!--- traffic sent to all IP addresses configured on all interfaces
!--- of the affected device so that it will be policed and  
!--- dropped by the CoPP feature
!--- 


access-list 150 permit tcp any any eq 5061


!---
!--- Feature: Secure Signaling and Media Encryption
!---


access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
   any eq 2443


!---
!--- Permit Secure Signaling and Media Encryption traffic sent to
!--- all IP addresses configured on all interfaces of the affected 
!--- device so that it will be policed and dropped by the CoPP 
!--- feature
!---


access-list 150 permit tcp any any eq 2443


!---
!--- Feature: Blocks Extensible Exchange Protocol (BEEP)
!--- The TCP port used is defined with the netconf beep initiator 
!--- and netconf beep listener configuration commands.  
!--- This example uses 3001
!---


access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
   any eq 3001


!---
!--- Permit BEEP traffic sent to all IP addresses configured
!--- on all interfaces of the affected device so that it
!--- will be policed and dropped by the CoPP feature
!---


access-list 150 permit tcp any any eq 3001


!---
!--- Feature: Network Admission Control HTTP Authentication Proxy
!--- and
!--- Per-user URL Redirect for EAP over UDP, Dot1x and MAC 
!--- Authentication Bybass
!---


access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
   any eq 80
access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
   any eq 443


!---
!--- Permit Network Admission Control HTTP Authentication Proxy
!--- and Per-user URL Redirect for EAP over UDP, Dot1x and MAC 
!--- Authentication Bybass traffic sent to all IP addresses
!--- configured on all interfaces of the affected device so that it
!--- will be policed and dropped by the CoPP feature
!---


access-list 150 permit tcp any any eq 80
access-list 150 permit tcp any any eq 443


!---
!--- Features: Distributed Director with HTTP Redirects and DNS
!---


access-list 150 deny tcp TRUSTED_SOURCE_ADDRESSES WILDCARD
   any eq 53


!---
!--- Permit Distributed Director with HTTP Redirects and DNS 
!--- traffic sent to all IP addresses configured on all interfaces
!--- of the affected device so that it will be policed and dropped
!--- by the CoPP feature
!---


access-list 150 permit tcp any any eq 53


!---
!--- Permit (Police or Drop)/Deny (Allow) all other Layer3 and
!--- Layer4 traffic in accordance with existing security policies
!--- and configurations for traffic that is authorized to be sent
!--- to infrastructure devices
!---

!---
!--- Create a Class-Map for traffic to be policed by
!--- the CoPP feature
!---


class-map match-all drop-tcpip-class
match access-group 150


!---
!--- Create a Policy-Map that will be applied to the
!--- Control-Plane of the device.
!---


policy-map drop-tcpip-traffic

class drop-tcpip-class
drop


!---
!--- Apply the Policy-Map to the 
!--- Control-Plane of the device
!---


control-plane
service-policy input drop-tcpip-traffic

上記の CoPP の例では、"permit" アクションであるアクセスコントロールリストエントリ (ACE) に該当し、攻撃である可能性のあるパケットは、policy-map の "drop" 機能により廃棄されますが、一方、"deny" アクション(記載されていません)に該当するパケットは、policy-map の "drop" 機能の影響を受けません。policy-map の構文は、12.2S と 12.0S Cisco IOS トレインでは異なるので注意が必要です:

policy-map drop-tcpip-traffic
class drop-tcpip-class
police 32000 1500 1500 conform-action drop exceed-action drop

CoPP機能の設定と使用についての詳細は、http://www.cisco.com/web/about/security/intelligence/coppwp_gs.htmlおよびhttp://www.cisco.com/en/US/docs/ios/12_3t/12_3t4/feature/guide/gtrtlimt.htmlにある『Control Plane Policing Implementation Best Practices』および『Cisco IOS Software Releases 12.2 S - Control Plane Policing』を参照してください。

ネットワーク内のCiscoデバイスに適用可能な他の対応策は、このアドバイザリの付属ドキュメントである『Cisco Applied Mitigation Bulletin』にて参照できます。https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20090325-tcp-and-ip

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、Cisco IOS のリリース トレインが記載されています。特定のリリース トレインに脆弱性がある場合は、修正を含む最初のリリース（および、それぞれの予想提供日）が表の「第 1 修正済みリリース」列に記載されます。「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、シスコ内部での脆弱性テストによって発見されたものです。また、この脆弱性を報告していただいたフリーランスコンサルタントのJens Link氏にも感謝いたします。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。