CISCO ルータ/スイッチ製品のIOS脆弱性への対応について

シスコシステムズ社より「CISCO製品のトラフィック処理に関する脆弱性」の存在が報告されました。脆弱性の概要と当社の対応方針をご案内致します。

1. シスコシステムズ社の発表内容

本内容に関し、シスコシステムズ社が発表した詳細な内容については下記URLを参照してください。

http://www.cisco.com/warp/public/707/cisco-sa-20030717-blocked.shtml

(1) 発生事象

CISCO IOS ソフトウェアを使用し、IPv4 (Internet Protocol version 4) トラフィックの処理の設定がなされているシスコルータおよびスイッチが、DoS （Denial of Service) 攻撃に対して脆弱であることが確認されています。
ある特殊なIPv4 パケットが装置に連続して直接送信された場合、装置の通信機能が停止する可能性があります。また、この事象によるアラームの発生や、回復のためにルータが自動的に再起動することはありません。

(2) 該当製品

本事象の影響を受ける該当製品は下記の二つの条件にあてはまる製品となります。

CISCO IOSソフトウェアを使用しているスイッチ,ルータ。
IPv4(Internet Protocol version 4)トラフィックの転送を行なっている。

注富士通CISCOファミリハード製品については、下記を除く全ての製品が対象となります。

Catalyst 6500/6000 series Supervisor Engine I, I-A, II
Catalyst 5500 series Supervisor Engine II, III, II-G, III-G
Catalyst 4003 Supervisor Engine I
Catalyst 4006 Supervisor Engine II
(注意: 上記のうちCatalyst OS で動作している場合)
Catalyst 4912G, 2948G, 2980G, 2980G-A
Catalyst 2901, 2902, 2926T, 2926F
Catalyst 1900 series
Cisco 700 series
PIX Firewall series
VPN 5002, 3030
Aironet 350
Aironet 1200 (注意: VxWorks OS で動作している場合)
CiscoWorks 2000
CiscoWorks for Windows
CiscoWorks WLSE
Cisco Secure ACS

ただし、対象製品であっても脆弱性対処済みIOSソフトウェアにて稼働している場合は影響を受けませんので、シスコシステムズ社下記URLのSoftware Versions and Fixesを参照願います。

http://www.cisco.com/warp/public/707/cisco-sa-20030717-blocked.shtml

(3) 対応策

脆弱性対処済みIOSへのバージョンアップ
脆弱性対処済みIOSへバージョンアップすることにより本事象に対応可能です。脆弱性対処済みIOSのバージョン情報は、シスコシステムズ社下記URL のSoftware Versions and Fixesを参照願います。
http://www.cisco.com/warp/public/707/cisco-sa-20030717-blocked.shtml
パケットフィルタ機能の設定(回避策)
IOSソフトウェアのバージョンアップが緊急には適用できない場合、ACL機能(パケットフィルタ機能)を設定することでも、本事象の回避は可能です。
具体的な設定方法は、下記URLのWorkaroundsもしくは、添付「Technical News Letter - 2003年7月臨時号(2)」の6.回避策を参照願います。
http://www.cisco.com/warp/public/707/cisco-sa-20030717-blocked.shtml

2. 当社の対応

CISCOファミリハードに対する当社の対応を以下に示します。
詳細については、当社担当営業にお問い合わせ願います。

(1) 脆弱性対処済みIOSの無償提供

脆弱性対処済みIOSソフトウェアについては、無償でご提供致します。
インストール作業をお客様にて実施して頂くことで、無償で対応可能です。

(2) 対象IOSインストール作業の有償対応

脆弱性対処済みIOSソフトウェアのインストールサービスを代行して実施致します(有償)。

(2) 留意事項

お客様のシステムに対応したIOSの選定，IOSバージョンアップ時の必要メモリ容量の調査，パケットフィルタリング（回避策）選択時の設定作業などは、お客様での作業となります。ただし、お客様のご要望により有償にて当社が作業することも可能です。
IOSをバージョンアップする際は、システムの動作環境が変わることを十分考慮願います。
IOSをバージョンアップした場合、FLASH/DRAMのメモリ容量が不足する場合があります。メモリ容量が不足する場合には、お客様に追加のメモリをご購入頂く必要があります。FLASH/DRAM必要容量に関しては、シスコシステムズ社ホームページのRelease Notesを参照して下さい。