Cisco Security Advisory: Cisco IOS Interface Blocked by IPv4 Packet
Cisco IOS を搭載したネットワークデバイスには、細工されたIPv4パケットをインターフェイスに直接送信されることで、入力キューが満杯であると誤ったフラグが立ってしまい、そのインターフェイスに対するインバウンドなトラフィックが処理されなくなってしまう問題がある。
インターフェイスに向けて直接送信されることで問題が発生するトラフィックには、プロトコルタイプ 53(SWIPE), 55(IP Mobility), 77(Sun ND), 103(PIM) のいずれかが使用される。
この問題による攻撃方法は、すでに某ML上で公開されていることを、Cisco が正式に認めているため、早急に対応する必要がある。
この問題の影響のは、IOS 12.x, 11.x と広範であるが、IOS 12.3 では受けない。また、Cisco から ACLs の設定変更による回避策が示されている。
access-list 101 deny 53 any any
access-list 101 deny 55 any any
access-list 101 deny 77 any any
access-list 101 deny 103 any any
access-list 101 permit ip any any
Foundstone から、スキャニングツール SNScan v1.05 が公開されたので、これを使用することで問題が残っているデバイスを検知できる。
