【活用ガイド】

JVNDB-2013-003639

Open Shortest Path First (OSPF) プロトコルの Link State Advertisement (LSA) に関する問題

概要

Open Shortest Path First (OSPF) プロトコルの仕様には、Link State Advertisement (LSA) の識別に関する問題が存在します。

OSPF プロトコルで規定されている LSA には、LS Type、Advertising Router および Link State ID が含まれています。OSPF の規定では、router-LSA の Link State ID と Advertising Router には同一の値が設定されることになっています。この二つの値が異なる、細工された router-LSA を受信することでルーティングテーブルの内容が改ざんされる可能性があります。
CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 5.8 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): なし
  • 可用性への影響(A): 部分的
影響を受けるシステム

OSPF プロトコルを実装している製品が本問題の影響を受ける可能性があります。

シスコシステムズ
  • Cisco Firewall Services Module (FWSM)
  • Cisco IOS 12.0 から 12.4
  • Cisco IOS 15.0 から 15.3
  • Cisco IOS XE 2.x から 3.9.xS
  • Cisco NX-OS
  • Cisco Pix Firewall ソフトウェア 7.x から 9.1
  • Cisco StarOS 14.0.50488 未満
  • Cisco ASA 5500 シリーズ 7.x から 9.1

以下の製品も本脆弱性の影響を受けます。

Sun Blade 6000 10GBE switched NEM 1.2 Patch 13255101 未満
Sun Network 10GBE Switch 72P 1.2 Patch 13255111 未満
Oracle Switch ES1-24 1.3 Patch 17050841 未満
その他の製品については、下記のベンダ情報、および参考情報「JVNVU#96465452」「VU#229804」内に記載されているベンダ情報をご確認ください。
想定される影響

想定される影響は各製品や実装により異なりますが、ルーティングテーブルを改ざんされることで、サービス運用妨害 (DoS) 攻撃を受けたり、ネットワークのトラフィックを別のルータに誘導されたりする可能性があります。
対策

[アップデートする]
各製品の開発者が提供する情報をもとにアップデートを行ってください。
ベンダ情報

オラクル シスコシステムズ ジュニパーネットワークス ヤマハ 日本電気
  • NEC製品セキュリティ情報 : NV13-006
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 情報不足(CWE-noinfo) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2013-0149
参考情報

  1. JVN : JVNVU#96465452
  2. National Vulnerability Database (NVD) : CVE-2013-0149
  3. US-CERT Vulnerability Note : VU#229804
  4. 関連文書 : RFC2328 - OSPF Version 2 
更新履歴

  • [2013年08月06日]
      掲載
    [2013年09月09日]
      ベンダ情報：日本電気 (NV13-006) を追加
    [2013年10月23日]
      影響を受けるシステム：オラクル (Oracle Critical Patch Update Advisory - October 2013) の情報を追加
      ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - October 2013) を追加
      ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - October 2013 Risk Matrices) を追加
      ベンダ情報：オラクル (October 2013 Critical Patch Update Released) を追加

公表日2013/08/01
登録日2013/08/06
最終更新日2013/10/23