Trusted Design

解説:

CVE-2018-0155は、Cisco Catalyst 4500シリーズスイッチおよびCisco Catalyst 4500-XシリーズスイッチにおけるBFD (Bidirectional Forwarding Detection) オフロード実装の脆弱性です。

1. 脆弱性の概要

Cisco Catalyst 4500シリーズスイッチおよびCisco Catalyst 4500-XシリーズスイッチのBFDオフロード実装に、サービス運用妨害（DoS）の脆弱性が存在します。この脆弱性は、BFDパケットのBFDヘッダーが不完全な場合の不十分なエラー処理に起因します。認証されていないリモートの攻撃者は、特別に細工されたBFDメッセージを対象のスイッチに送信することで、iosdプロセスをクラッシュさせ、システムのリロードを引き起こす可能性があります。

1.1 影響

この脆弱性が悪用されると、iosdプロセスがクラッシュし、システムがリロードされることで、サービス運用妨害（DoS）状態が発生します。これにより、ネットワーク運用が中断され、ダウンストリームのネットワークサービスや接続されたシステムに影響が及ぶ可能性があります。 機密性や完全性への影響はありません。

1.2 深刻度

CVSS v3.1の基本スコアは8.6（High）です。 攻撃ベクトルは「ネットワーク」、攻撃の複雑さは「低」、必要な特権は「なし」、ユーザーインタラクションは「なし」です。スコープは「変更済み」であり、可用性への影響は「高」と評価されています。 この脆弱性は、CISAの既知の悪用されている脆弱性（KEV）カタログに追加されており、実際に悪用されていることが確認されています。 EPSSスコアは、悪用の可能性が高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Cisco IOS SoftwareおよびCisco IOS XE Softwareが影響を受けます。具体的には、Cisco IOS Software Release 15.2(1)E以降およびCisco IOS XE Software Release 3.5.0E以降の脆弱なリリースです。

影響を受ける製品は以下の通りです。

• Cisco Catalyst 4500シリーズスイッチ
• Cisco Catalyst 4500-Xシリーズスイッチ
• Catalyst 4500 Supervisor Engine 6-E (K5)
• Catalyst 4500 Supervisor Engine 6L-E (K5/K10)
• Catalyst 4500 Supervisor Engine 7-E (K10)
• Catalyst 4500 Supervisor Engine 7L-E (K10)
• Catalyst 4500E Supervisor Engine 8-E (K10)
• Catalyst 4500E Supervisor Engine 8L-E (K10)
• Catalyst 4500E Supervisor Engine 9-E (K10)
• Catalyst 4900M Switch (K5)
• Catalyst 4948E Ethernet Switch (K5)

以下の製品は、この脆弱性の影響を受けないことが確認されています。 * Cisco Catalyst 4500 Series Supervisor Engine V-10GE (K2) * Cisco Catalyst 4948 Switch (K2) * Cisco IOS XR Software * Cisco NX-OS Software

2.2 影響を受ける設定

この脆弱性は、BFD機能が有効になっている場合にのみ悪用可能です。BFD機能は、IP Base（ipbase）パッケージライセンス以上を実行しているCisco IOS SoftwareおよびCisco IOS XE Softwareではデフォルトで有効になっています。LAN Base（lanbase）パッケージライセンスではBFD機能はサポートされていません。

3. 影響を受けた時の兆候

影響を受けた際の兆候としては、以下のものが挙げられます。

• iosdプロセスのクラッシュ。
• システムのリロード。
• ネットワークサービスの停止または中断。
• 予期しないリロード、異常なネットワークトラフィック、および異常なプロセス動作。

4. 推奨対策

4.1 本対策

Ciscoから提供されているソフトウェアアップデートを直ちに適用してください。

4.2 暫定回避策（緩和策）

• BFD機能を使用しない場合: グローバルコンフィギュレーションモードでfeature bfd disableコマンドを使用してBFD機能を無効にすることができます。このコマンドは、Cisco IOS Software Release 15.2(1)E以降およびCisco IOS XE Software Release 3.5.0E以降で利用可能です。
• BFD機能を使用する場合: Control Plane Policing（CoPP）を実装し、既知のBFDピアからのBFDパケットのみを処理し、その他のすべてのBFDトラフィックを破棄することで露出を制限できます。

この脆弱性に対するその他の直接的な回避策は提供されていません。

参照したサイト

• CVE-2018-0155 - Cisco Catalyst Bidirectional Forwarding Detection Denial-of-Service Vulnerability | turingsecure
• CVE-2018-0155 - CVE Record
• CVE-2018-0155 — Patch first | CVE Explorer | Peter Bassill
• Cisco IOS and IOS XE Software Bidirectional Forwarding Detection Denial of Service Vulnerability
• CVE-2018-0155 — Cisco Catalyst Bidirectional Forwarding Detection Denial-of-Service Vulnerability - eVulnAble
• CVE-2018-0155: Cisco Catalyst Bidirectional Forwarding Detection Denial-of-Service Vulnerability - ScyScan