CISCO製品のIPv6処理に関する脆弱性への対応について

掲載日:2005年3月31日

シスコシステムズ社より報告されております「CISCO製品のIPv6処理に関する脆弱性」について当社対応の準備が整いましたのでご連絡いたします。

1. 概要

特定バージョンのIOSで動作しているCISCO製品は、特殊なIPv6パケットによるDOS攻撃を受けると機器が再起動してしまう脆弱性を有しています。
なお詳細については3項のシスコシステムズ社関連情報のURLをご参照ください。

1-1．事象

ある特殊なIPv6パケットを受信した場合にシステムが再起動してしまう可能性があります。脆弱性は物理的インターフェース、論理的なインターフェースにかかわらずに有しています。
本脆弱性により悪意を持った攻撃者によるDoS（Denial of Services：サービス継続不能）攻撃を受ける可能性があります。

1-2．該当製品

「Cisco IOS ソフトウェアを使用し、IPv6を有効にしている全てのシスコルータおよびスイッチ」が該当製品となります。
富士通シスコファミリーハード製品に関しては、下記を除く全ての製品が対象となります。
- Cisco 700 series
- Catalyst 6500/6000 series Supervisor Engine I, I-A, II
(注意: Catalyst OS で動作している場合)
- Catalyst 5500 series Supervisor Engine II, III, II-G, III-G
- Catalyst 4003 Supervisor Engine I
- Catalyst 4006 Supervisor Engine II
- Catalyst 4912G, 2948G, 2980G, 2980G-A
- Catalyst 2901, 2902, 2926T, 2926F
- Catalyst 1900 series
- PIX Firewall series
- VPN 5002, 3030
- Aironet 350
- Aironet 1200 (注意: VxWorks OS で動作している場合)
- CiscoWorks 2000
- CiscoWorks for Windows
- CiscoWorks WLSE
- Cisco Secure ACS

1-3．恒久対策

対象となるIOSを脆弱性対処済みバージョンへバージョンアップすることで、恒久的な対策を行うことが出来ます。
IOSの脆弱性対処済みバージョンの情報については、3-1項の脆弱性詳細のURLをご参照ください。

1-4．回避策

本脆弱性による影響を緩和する回避策としてネットワークセキュリティを構築するためにアクセスリストの適用が考えられます。ただし、影響する製品が多様であるために対象となるネットワークに適用する回避策を十分に検討する必要があります。
（IPv6脆弱性に対する回避策）
・アクセスリストの利用
具体的な設定方法については、3-1項の脆弱性詳細のシスコシステムズ社URLをご参照ください。

2. 当社の対応

2-1．対応

当社の提供するシスコファミリ－ハードへの対応について以下に示します。

脆弱性対処済みIOSソフトウェアを無償でご提供致します。
ソフトウェアの入手についてはご購入いただいた販売会社、弊社担当営業へお問い合わせください。
またご希望が有る場合は有償にてインストール代行サービスも提供しております。

2-2．注意事項

IOSを変更した場合、FLASH/DRAMの容量が不足する場合が有ります。FLASH/DRAMメモリ容量が不足する場合には、お客様に追加のメモリをご購入頂く必要が有ります。変更する前にFLASH/DRAMの容量を確認して下さい。FLASH/DRAM必要容量に関しては、3-2項のシスコシステムズ社URL を参照して下さい。

3. シスコシステムズ社関連情報

3-1. 脆弱性詳細

シスコシステムズ社からの発表の詳細は下記URLをご参照ください。

【英語】
Multiple Crafted IPv6 Packets Cause Reload

3-2. Release Notes

1. 12.3TのRelease Notes
2. 12.3のRelease Notes
3. 12.2SのRelease Notes
4. 12.2TのRelease Notes
5. 12.0SのRelease Notes