Trusted Design

CVE-2018-0171 の詳細

CVEの情報

説明:
A vulnerability in the Smart Install feature of Cisco IOS Software and Cisco IOS XE Software could allow an unauthenticated, remote attacker to trigger a reload of an affected device, resulting in a denial of service (DoS) condition, or to execute arbitrary code on an affected device. The vulnerability is due to improper validation of packet data. An attacker could exploit this vulnerability by sending a crafted Smart Install message to an affected device on TCP port 4786. A successful exploit could allow the attacker to cause a buffer overflow on the affected device, which could have the following impacts: Triggering a reload of the device, Allowing the attacker to execute arbitrary code on the device, Causing an indefinite loop on the affected device that triggers a watchdog crash. Cisco Bug IDs: CSCvg76186.

CVE更新日: 2018-03-28 22:29:01.063000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.994790000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2018-0171について、以下の観点で解説します。

1. 脆弱性の概要

Cisco IOS SoftwareおよびCisco IOS XE SoftwareのSmart Install機能に存在するリモートコード実行（RCE）の脆弱性です。この脆弱性は、パケットデータの不適切な検証に起因します。認証されていないリモートの攻撃者が、細工されたSmart InstallメッセージをTCPポート4786に送信することで、影響を受けるデバイス上でバッファオーバーフローを引き起こし、任意のコードを実行したり、サービス妨害（DoS）状態に陥らせたりする可能性があります。

Smart Installは、Ciscoスイッチのゼロタッチ導入とイメージ管理のために開発された機能で、新しいスイッチをネットワークに接続し電源を入れるだけでプロビジョニングできるように設計されていますが、このプロトコルは本来認証機構を持っていません。

1.1 影響

  • サービス妨害（DoS）: デバイスのリロードを引き起こす、または無期限のループに入りウォッチドッグクラッシュを引き起こす可能性があります。
  • リモートコード実行（RCE）: 攻撃者がデバイス上で任意のコードを実行できる可能性があります。
  • 情報窃取と改ざん: 設定ファイルの抽出や変更、IOSイメージの置き換え、アカウントやコマンドの変更などが可能です。特に、Type 7形式で保存されたパスワードは容易に解読され、管理者権限でのSSHログインに悪用される可能性があります。
  • 永続的なアクセス: 攻撃者がデバイスへの永続的なアクセス権を獲得する可能性があります。

1.2 深刻度

CVSSv3.xのベーススコアは9.8（Critical - 緊急）と評価されており、非常に深刻な脆弱性です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Cisco IOS Software および Cisco IOS XE Software の脆弱なリリースが対象です。
  • Smart Installクライアント機能が有効になっているデバイスが対象となります。
  • Cisco IOS XRおよびNX-OSは、この脆弱性の影響を受けません。
  • IOS 12.2(52)SEより前のソフトウェアを実行している古いCiscoデバイスは、Smart Install機能がないため影響を受けません。

2.2 影響を受ける設定

  • Smart Installクライアント機能が有効になっていること: 多くのデバイスでデフォルトで有効になっています。
  • 攻撃者からTCPポート4786に到達可能であること: Smart Installプロトコルが使用するTCPポート4786が、攻撃元ネットワークからアクセス可能な状態である必要があります。
  • Smart Installは、認証なしで動作するように設計されているため、脆弱性の悪用を容易にします。

3. 影響を受けた時の兆候

  • TCPポート4786の公開: TCPポート4786がインターネットに公開されている場合は、深刻な兆候です（ただし、これだけで脆弱性が悪用されたとは限りません）。
  • デバイスのリロード、クラッシュ、または無期限のループ: サービス妨害攻撃が成功した場合の兆候です。
  • 設定ファイルの不正な抽出または変更: 不審なTFTPトラフィック（特に設定ファイルの外部への持ち出し）や、設定内容の意図しない変更。
  • OSイメージの置き換え: 不正なIOSイメージがロードされる。
  • アカウントやコマンドの変更: 不正なアカウントの作成や既存アカウントの権限変更、不明なCLIコマンドの実行。
  • 認証情報（特にType 7パスワード）の流出と悪用: 設定ファイルからパスワードが窃取され、SSHなどで不正にログインされる。
  • 不審な通信トラフィック: TCPポート4786へのプローブや相互作用の形跡。

4. 推奨対策

4.1 本対策

  • ソフトウェアのアップデート: シスコがリリースしている修正済みのソフトウェアリリースにできるだけ早くアップグレードしてください。シスコは、影響を受けるリリースと修正済みバージョンを特定するためのツール「Cisco IOS Software Checker」を提供しています。
  • Smart Install機能の無効化: Smart Install機能を使用しない場合は、no vstackコマンドを使用してこの機能を無効にしてください。一部の更新されたソフトウェアリリース（Cisco Bug ID CSCvd36820が実装されている場合）では、ゼロタッチ導入が使用されていないことを検出すると、Smart Installクライアント機能が自動的に無効になります。

4.2 暫定回避策（緩和策）

  • TCPポート4786へのアクセス制限: アクセス制御リスト（ACL）を使用して、TCPポート4786への着信トラフィックをブロックし、管理プレーンへのアクセスを制限してください。
  • TFTPアクセス制限: 不要なTFTPアクセスをネットワーク境界で拒否してください。
  • Type 7パスワードの使用回避: 設定ファイル内のパスワードには、より安全なハッシュ形式を使用し、Type 7パスワードの使用を避けてください。
  • 設定の定期的な確認と監視: スイッチの設定が不正に変更されていないか定期的に確認し、ログを監視して不審なアクティビティに対するアラートを設定してください。

5. 他に解説すべき観点

  • 脅威の継続性: CVE-2018-0171は2018年に開示されましたが、修正パッチが提供されてから7年が経過した現在（2025年、2026年時点）でも、多くの組織が対策を講じていないため、引き続き悪用が確認されています。これは、パッチ適用が不十分であることや、安全が確保されないデフォルト設定が原因です。
  • 公開されているエクスプロイトツール: SIET (Smart Install Exploit Tool) のようなオープンソースの攻撃ツールが存在し、容易に悪用される可能性があります。
  • 一部のデバイスにおける問題: Smart Installを無効にできない、または再起動後に再度有効になるデバイスも存在すると報告されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る