Cisco IOS ソフトウェアのネットワーク アドレス変換における Denial of Service（DoS）の脆弱性

この脆弱性は、次のすべての条件を満たすシスコ製デバイスに影響を及ぼします。

• デバイスが Cisco IOS ソフトウェアの脆弱なリリースを実行している。脆弱性が存在する Cisco IOS ソフトウェア リリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。
• デバイスが NAT を実行するように構成されている。
• デバイスが H.323 RAS メッセージ用に NAT（NAT ALG）でアプリケーション層ゲートウェイを使うように構成されている。NAT ALG は、H.323 RAS メッセージに対してデフォルトで有効となっています。

この脆弱性は、NAT 仮想インターフェイス機能、もしくは Cisco IOS ソフトウェアの Cisco Easy VPN リモート クライアント機能を介して NAT を実行するように構成されたデバイスには影響を及ぼしません。

NAT 設定の検証

デバイスが NAT を実行するように構成されているか調べるには、管理者は NAT がデバイス上でアクティブになっているか（推奨）、または NAT コマンドがデバイス構成に存在するかを確認します。

NAT がデバイス上でアクティブかどうかを確認するには、管理者はデバイスにログインして、CLI で show ip nat statistics コマンドを実行できます。NAT がアクティブの場合は、コマンドの出力で Outside interfaces と Inside interfaces のセクションに、少なくともインターフェイスが 1 つ表示されます。

次の例は、NAT がアクティブなデバイスに対する show ip nat statistics コマンドの出力を示しています。

Router# show ip nat statistics

Total active translations: 0 (0 static, 0 dynamic; 0 extended)
Peak translations: 10, occurred 00:24:01 ago
Outside interfaces:
  FastEthernet0/0
Inside interfaces: 
  FastEthernet0/1
Hits: 134280  Misses: 0
CEF Translated packets: 134270, CEF Punted packets: 10
Expired translations: 11
Dynamic mappings:
-- Inside Source
[Id: 1] access-list NET-192.168.20.0_24 pool POOL-NET-192.168.1.0_24 refcount 0
 pool POOL-NET-192.168.1.0_24: netmask 255.255.255.0
start 192.168.1.120 end 192.168.1.128
type generic, total addresses 9, allocated 0 (0%), misses 0

Total doors: 0
Appl doors: 0
Normal doors: 0
Queued Packets: 0
Router#

show ip nat statistics コマンドの出力にインターフェイスが含まれていない場合、そのデバイスでは NAT はアクティブになっていません。

また、管理者は CLI で show running-config コマンドを実行し、デバイス構成に NAT コマンドが存在するか評価することで、デバイスで NAT がアクティブになっているかどうかを確認できます。デバイスで NAT がアクティブになっている場合は、show running-config コマンドの出力に ip nat inside と ip nat outside インターフェイスコマンドが含まれています。

H.323 RAS に対して NAT ALG が有効か確認する

デフォルトでは、H.323 RAS メッセージに対して NAT ALG が有効になっており、NAT ALG はデバイスの実行中の設定情報には表示されません。

H.323 RASメッセージのNAT ALGのステータスを確認するには、管理者がデバイスにログインしてshow running-config | | include ip nat service rasコマンドを使用します。

Router# show running-config | include ip nat service ras

no ip nat service ras
Router#

上の例では、no ip nat service rasの出力で示されているように、H.323 RASメッセージに対してNAT ALGが無効になっています。

show running-config | | include ip nat service rasコマンドの出力に表示されているように、NAT ALGはH.323 RASメッセージに対して有効になっています。

Cisco IOS ソフトウェア リリースの判別

デバイス上で実行されている Cisco IOS ソフトウェア リリースは、管理者がデバイスにログインして、CLI で show version コマンドを使用し、表示されるシステム バナーを参照することにより確認できます。デバイスが Cisco IOS ソフトウェアを実行している場合、システム バナーに「Cisco Internetwork Operating System Software」や「Cisco IOS Software」などのテキストが表示されます。バナーにはインストールされたイメージ名もカッコ内に表示され、その後ろに、Cisco IOS ソフトウェアのリリース番号とリリース名が表示されます。一部のシスコ デバイスでは、show version コマンドをサポートしていなかったり、別の出力が表示されたりします。

次に、Cisco IOS ソフトウェア リリース 15.5(2)T1 が実行されていて、インストールされているイメージ名が C2951-UNIVERSALK9-M であるデバイスでのコマンド出力例を示します。

Router> show version

Cisco IOS Software, C2951 Software (C2951-UNIVERSALK9-M), Version 15.5(2)T1, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2015 by Cisco Systems, Inc.
Compiled Mon 22-Jun-15 09:32 by prod_rel_team
.
.
.

Cisco IOS ソフトウェアリリースの命名と番号付けの規則に関する詳細は、『White Paper: Cisco IOS and NX-OS Software Reference Guide』を参照してください。

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

Cisco IOS ソフトウェアを実行しており、NAT 仮想インターフェイス機能、もしくは Cisco Easy VPN リモート クライアント機能を介して NAT を実行するように構成されたデバイスには、この脆弱性の影響が及ばないことを、シスコは確認しました。

また、この脆弱性が Cisco IOS XE ソフトウェア、Cisco IOS XR ソフトウェア、Cisco NX-OS ソフトウェアには影響を与えないことも確認しました。

さらに、この脆弱性は Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンスにも影響を及ぼさないことを確認しました。