Cisco IOS XE ソフトウェアおよび Cisco ASA 5500-X シリーズ適応型セキュリティ アプライアンスの IPsec サービス妨害（DoS）の脆弱性

Cisco IOS XE ソフトウェア

この脆弱性は、次の製品で実行中の Cisco IOS XE ソフトウェアに影響を及ぼします。その他のモデルは影響を受けません。

• Cisco ASR 1000 シリーズ アグリゲーション サービス ルータ：
  • ASR 1001-X
  • ASR 1001-HX
  • ASR 1002-X
  • ASR 1002-HX
  • Cisco ASR 1000 シリーズ 100 Gbps エンベデッド サービス プロセッサ（ASR1000-ESP100）
  • Cisco ASR 1000 シリーズ 200 Gbps エンベデッド サービス プロセッサ（ASR1000-ESP200）

• Cisco 4000 シリーズ サービス統合型ルータ：
  • ISR 4431
  • ISR 4451-X

Cisco IOS XE ソフトウェアは、システムが IPsec VPN 接続を終了するように設定されている場合、この脆弱性の影響を受けます。これには次の接続が含まれます。

• LAN 間 VPN
• リモートアクセス VPN（SSL VPN を除く）
• Dynamic Multipoint VPN（DMVPN） 
• FlexVPN
• Group Encrypted Transport VPN（GET VPN）
• IPsec 仮想トンネル インターフェイス（VTI）
• IPsec による Open Shortest Path First バージョン 3（OSPFv3）認証のサポート

Cisco IOS XE ソフトウェアを実行しているデバイスが IPsec VPN 接続を終了するように設定されている場合、少なくとも 1 つのインターフェイスに対して暗号マップを設定するか、または IPsec VTI を使用してデバイスを設定する必要があります。

管理者は show running-config コマンドを使用して、少なくとも 1 つのアクティブ インターフェイスで設定されている暗号マップがコマンドの出力に含まれていることを確認する必要があります。次の例は、GigabitEthernet 0/0/0 インターフェイスに設定されている map-group1 という名前の暗号マップを示しています。

Router# show running-config
<!-- Output Omitted -->
interface GigabitEthernet0/0/0
 crypto map map-group1

管理者は show running-config コマンドを使用して、少なくとも 1 つのトンネル インターフェイスで設定されている tunnel protection ipsec profile がコマンドの出力に含まれていることを確認する必要があります。次の例は、VTI インターフェイスを示しています。

Router# show running-config
interface tunnel 0
tunnel mode ipsec ipv4
tunnel protection ipsec profile PROF1

Cisco IOS XE ソフトウェアを実行しているデバイスが IPsec による OSPFv3 認証をサポートするように設定されている場合、実行コンフィギュレーションに次のいずれかが含まれています。

• ipv6 ospf encryption
• ipv6 ospf authentication
• ospfv3 authentication ipsec
• ospfv3 encryption ipsec
• area <area-id> authentication ipsec
• area <area-id> encryption ipsec
• area <area-id> virtual-link <router-id> authentication ipsec spi
• area <area-id> virtual-link <router-id> encryption ipsec spi

次の例は、IPsec による OSPFv3 認証のサポート用に設定されているデバイスを示しています。

Router# show running-config
interface GigabitEthernet0/1
ospfv3 authentication ipsec spi 256 md5 01020304050607080910010203040506 

Cisco IOS XE ソフトウェア リリースの判別

デバイス上で実行されている Cisco IOS XE ソフトウェア リリースは、管理者がデバイスにログインして、CLI で show version コマンドを実行し、表示されるシステム バナーを参照することにより確認できます。デバイスが Cisco IOS XE ソフトウェアを実行している場合、システム バナーに「Cisco IOS Software」、「Cisco IOS XE Software」などのテキストが表示されます。

次に、Cisco IOS XR ソフトウェア リリース 16.2.1 が実行されていて、インストールされているイメージ名が CAT3K_CAA-UNIVERSALK9-M であるデバイスでのコマンドの出力例を示します。

ios-xe-device# show version

Cisco IOS Software, Catalyst L3 Switch Software (CAT3K_CAA-UNIVERSALK9-M), Version Denali 16.2.1, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2016 by Cisco Systems, Inc.
Compiled Sun 27-Mar-16 21:47 by mcpre
.
.
.

Cisco IOS XE ソフトウェア リリースの命名と番号付けの規則に関する詳細は、『Cisco IOS and NX-OS Software Reference Guide』を参照してください。

Cisco ASA ソフトウェア、および Firepower Threat Defense ソフトウェアがインストールされている Cisco ASA 5500-X シリーズ

この脆弱性は、次の製品で実行中の Cisco ASA ソフトウェアまたは Cisco FTD ソフトウェアに影響を及ぼします。その他のモデルは影響を受けません。

• ASA 5506-X シリーズ
• ASA 5508-X シリーズ
• ASA 5516-X シリーズ

影響を受けるリリースの詳細については、本セキュリティ アドバイザリの「修正済みソフトウェア」セクションを参照してください。

Cisco ASA ソフトウェアは、システムが IPsec VPN 接続を終了するように設定されている場合、この脆弱性の影響を受けます。これには次の接続が含まれます。

• LAN 間 IPsec VPN
• IPsec VPN クライアントを使用したリモート アクセス VPN
• Layer 2 Tunneling Protocol（L2TP）-over-IPsec VPN 接続

Cisco FTD ソフトウェアは、システムが IPsec VPN 接続を終了するように設定されている場合、この脆弱性の影響を受けます。これには次の接続が含まれます。

• サイト間 IPsec VPN
• IPsec VPN クライアントを使用したリモート アクセス VPN

Cisco ASA ソフトウェアや Cisco FTD ソフトウェアは、システムが以下の VPN 接続だけを終了するように設定されている場合、この脆弱性の影響を受けません。

• クライアントレス SSL 
• AnyConnect SSL

IPsec VPN 接続を終了するように設定されている Cisco ASA ソフトウェアをアプライアンスで実行している場合、少なくとも 1 つのインターフェイスに暗号マップを設定する必要があります。管理者は show running-config crypto map | include interface コマンドを使用して、コマンドの出力を確認する必要があります。次の例は、外部インターフェイスに設定されている outside_map という名前の暗号マップを示しています。

ciscoasa# show running-config crypto map | include interface
crypto map outside_map interface outside

注：IPsec VPNはデフォルトでは設定されていません。

Cisco FTD を実行しているアプライアンスが、IPsec VPN クライアントを使用するサイト間 VPN 接続やリモート アクセス VPN 接続を指定して設定されているかどうかを確認するためには、管理者は show running-config コマンドを使用する必要があります。次の表では、左の列に脆弱性の存在する Cisco FTD の機能を示します。右側の列は show running-config コマンドで返される脆弱な設定を示しています。

^{1 リモート アクセス VPN 機能は、Cisco FMC の [デバイス（Devices）] > [VPN] > [リモートアクセス（Remote Access）]、または Cisco Firepower Device Manager（FDM）の [デバイス（Devices）] > [リモートアクセスVPN（Remote Access VPN）]} で有効にできます。
^{2 リモート アクセス VPN 機能は、Cisco FTD ソフトウェア リリース 6.2.2 からサポートされています。
3 サイト間 VPN 機能は、Cisco FTD ソフトウェア リリース 6.2.0 からサポートされています。}

Cisco ASA ソフトウェア リリースの判別

管理者は、Cisco ASA ソフトウェアの脆弱性が存在するリリースがアプライアンスで実行されているかどうかを確認するために show version コマンドを使用できます。次の例は、Cisco ASA ソフトウェア リリース 9.2(1) を実行中のアプライアンスでの show version コマンドの結果を示しています。

ciscoasa# show version | include Version
Cisco Adaptive Security Appliance Software Version 9.2(1) 
Device Manager Version 7.4(1)

Cisco FTD ソフトウェア リリースの判別

管理者は CLI から show version コマンドを使用することにより、Cisco FTD リリースを確認できます。デバイスでリリース 6.2.2 が実行されている場合、次の例のようになります。

> show version
---------------------[ ftd ]---------------------
Model : Cisco ASA5525-X Threat Defense (75) Version 6.2.2 (Build 362)
UUID : 2849ba3c-ecb8-11e6-98ca-b9fc2975893c
Rules update version : 2017-03-15-001-vrt
VDB version : 279
----------------------------------------------------

Cisco Adaptive Security Device Manager（ASDM）を使用してデバイスを管理している場合は、ログイン ウィンドウ、または Cisco ASDM ウィンドウの左上にソフトウェア リリースが表示されます。

このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この脆弱性の影響を受けることが分かっています。

シスコは、この脆弱性が Cisco IOS ソフトウェア、Cisco IOS XR ソフトウェア、および Cisco NX-OS ソフトウェアには影響を与えないことを確認しました。