Ciscoは2026年10月21日、ASR 9000などの指定機種で使うCisco IOS XR 64-bit Softwareに、通信停止につながる脆弱性があると公表しました。認証不要の遠隔攻撃により、通信を処理するラインカードが再起動・停止する恐れがあります。修正版は公開済みで、利用企業は機種名だけでなく、搭載カードとIPv4の設定、稼働版を確認する必要があります。
自装置宛てのIPv4通信でカードが停止する恐れ
原因は、細工した自装置宛てIPv4パケットの処理不備です。ネットワークプロセッサにエラーが起き、ラインカードが再起動したり、停止したりする可能性があります。
再起動から復旧する間は、該当するラインカードで通信が失われます。再起動が繰り返されると停止状態が続き、ラインカードの再ロードが必要になる場合もあります。単に再起動を待てば必ず復旧する、という問題ではありません。
一方、ルーターを通過するIPv4通信とIPv6通信は、この問題を引き起こしません。問題の入口は「ルーター自身を宛先とするIPv4通信」です。ただし、入口が自装置宛てであることと、停止による通信への影響は分けて考える必要があります。
Ciscoの製品セキュリティ対応チームであるPSIRTは、公表時点で、この脆弱性の公知情報や悪用を把握していないとしています。脆弱性は、Cisco TACのサポート案件を解決する過程で見つかりました。
修正版へ更新、通信遮断は暫定的な緩和策
Ciscoは修正版への更新を強く推奨しています。IOS XR 24.4系の最初の修正版は24.4.2です。IOS XR 25.1以降は影響を受けず、IOS XR 7.8以前では修正版への移行が必要です。修正版の日本での提供は発表には書かれていません。
脆弱性を解消する回避策はありません。ただし、外部接続側の入口に置くiACLというアクセス制御で、自装置宛てのUDP宛先ポート1701の通信を遮断する緩和策が案内されています。この緩和策では、ルーターを通過する通信は引き続き転送します。
緩和策は試験環境では有効性が確認されていますが、利用環境での効果検証が必要です。ネットワークの機能や性能に悪影響を及ぼす可能性もあるため、検証せずに適用するのではなく、修正版への更新と分けて判断してください。
影響する会社・しない会社
- 影響する: 脆弱なCisco IOS XR 64-bit SoftwareでASR 9000またはASR 9900を稼働し、Lightspeed系またはLightspeed-Plus系カードを搭載している会社です。搭載ラインカードのいずれかのインターフェースでIPv4が有効であることが条件です。
- 影響する: 脆弱な同ソフトウェアでASR 9902またはASR 9903を稼働し、同じIPv4の条件を満たす会社です。両機種はLightspeed-Plus系カードを内蔵しています。
- 影響しない: IPv6のみの構成、またはIOS XR 25.1以降を利用している会社です。
- 影響しない: IOS Software、IOS XE Software、NX-OS Softwareを利用する会社や、今回の対象一覧にないIOS XRプラットフォームを利用する会社です。
機種名が一致するだけでは、対象かどうかは決まりません。逆に、通過するIPv4通信が問題を引き起こさないことだけを理由に、対象外と判断することもできません。
