TCPのAckメッセージの処理に関する脆弱性の問題について
（Optimistic Ack）

○概要

1. Optimistic Ack
   データ受信側ホストが、まだ受信していないTCPセグメントに対するAckメッセージを送信することにより、送信側ホストにおいて輻輳制御メカニズムが効かない状態となり、回線帯域を不当に占有して他のサービスを妨害する可能性がある。
   
   
2. Duplicate Ack
   データ受信側ホストが、受信したTCPセグメントに対して複数回同じAckメッセージを送信することにより、送信側ホストにおいて輻輳制御メカニズムが効きにくい状態となり、回線帯域を不当に占有して他のサービスを妨害する可能性がある。
   
   
3. Partial Ack（もしくはAck Division）
   データ受信側ホストが、受信したTCPセグメントに対して受信したセグメントを複数セグメントに分割して受信した場合に相当する複数個のAckメッセージとして送信することにより、送信側ホストにおいて輻輳制御メカニズムが効きにくい状態となり、回線帯域を不当に占有して他のサービスを妨害する可能性がある。
   
   

• JVN
  TCP プロトコルに Optimistic TCP acknowledgements による DoS が可能な脆弱性
  
  
• US-CERT
  Optimistic TCP acknowledgements can cause denial of service
  
  

○当社製品に対する影響

• 認証を行なうことなく、TCPセッションを通じて大量のデータをやり取りできるような機能は実装されていないため、信用できない第三者に攻撃される可能性は小さい
  
  
• コンテンツストリーミングのような巨大なデータを保有していないため、影響は一時的である
  
  

○回避方法

• パスワードを設定してTCP接続相手との認証を実施し、信用できない相手との接続を受け付けない状態とする
  
  
• パケットフィルタリングにより、信用できない相手からの接続要求パケットを廃棄する
  
  
• Webサーバ、FTPサーバ、Telnetサーバ、SSHサーバ等のサーバ機能のうち、利用していないサーバ機能を設定により停止する
  
  

http-server shutdown
ftp-server shutdown
telnet-server shutdown

access-list 150 deny tcp any any eq www
access-list 150 deny tcp any any eq ftp
access-list 150 deny tcp any any eq ftp-data
access-list 150 deny tcp any any eq telnet

interface pppoe 1
 ip access-group 150 in interface

ipfiltering -d add dst=0.0.0.0,0.0.0.0 dstport=80,80 src=0.0.0.0,0.0.0.0 prot=tcp\
 recvif=isdn1,isdn2 half
ipfiltering -d add dst=0.0.0.0,0.0.0.0 dstport=20,21 src=0.0.0.0,0.0.0.0 prot=tcp\
 recvif=isdn1,isdn2 half
ipfiltering -d add dst=0.0.0.0,0.0.0.0 dstport=23,23 src=0.0.0.0,0.0.0.0 prot=tcp\
 recvif=isdn1,isdn2 half
ipfiltering -f add dst=0.0.0.0,0.0.0.0 src=0.0.0.0,0.0.0.0