ネットワーク機器トップヘッダー
ネットワーク機器トップ　>　TCP実装のICMPエラーメッセージの処理に関する脆弱性の問題について


TCP実装のICMPエラーメッセージの処理に関する脆弱性の問題について

2005年4月19日 初版
2005年5月31日 FITELnet-F40の対応情報を追加
2005年6月17日 FITELnet-F100/F1000（Ver2系）の対応情報を追加
2005年6月30日 FITELnet-F100/F1000（Ver1系）の対応情報を追加
2006年1月17日 FITELnet-E20/E30の対応情報を追加
2006年5月19日 FITELnet-F120の対応情報を追加
2007年2月15日 NISCC と IETF のリンクを修正
2008年5月14日 NISCC のリンクを修正

○概要

TCP/IPの実装において、ICMPメッセージの処理に関する脆弱性の問題が確認されております。これはICMPメッセージを悪用することにより、TCPのコネクションをリセットしたり、スループットの低下を引き起こしたりできるというもので、以下のような問題が指摘されております。
  1. ICMPエラーメッセージ（IPv4：type=3 code=2、3、4　IPv6：type=1 code=1、4）によるTCPコネクションの切断

  2. PMTUD（Path MTU Discovery　ICMPv4：type=3 code=4、ICMPv6：type=2 code=0のメッセージを利用）を悪用したTCPコネクションの速度低下

  3. ICMP Source Quenchメッセージ（IPv4：type=4 code=0、IPv6は該当するメッセージなし）によるTCPコネクションの速度低下

・参考情報

○当社製品に対する影響

当社製品に対する影響は次の通りです。
概要で示した１の問題をHard Error、２の問題をPMTUD、３の問題をSource Quenchとしています。


[IPv4]
−：影響なし、×：影響あり
製品名 Hard Error PMTUD Source Quench
FITELnet-F1000 − − ×
FITELnet-F120 − − ×
FITELnet-F100 − − ×
FITELnet-F40 × × ×
FITELnet-E30 × × ×
FITELnet-E20 × − ×
MUCHOシリーズ × × ×



[IPv6]
−：影響なし、×：影響あり
製品名 Hard Error PMTUD
FITELnet-F1000 − ×
FITELnet-F120 − ×
FITELnet-F100 − ×



○回避方法

該当パケットをフィルタリングすることにより、本脆弱性を回避することができます。
FITELnet-F100/F1000の場合、ICMPのtype、codeまで指定することができますが、FITELnet-F40、E20/E30、MUCHOシリーズについては、ICMPパケット全体をフィルタリングすることになります。


・FITELnet-F100/F120/F1000の例

次のように設定することで、PPPoE1インターフェースに対するICMPv4のSource Quenchメッセージをフィルタリングすることができます。 

access-list 100 deny icmp any any source-quench



interface pppoe 1

 ip access-group 100 in interface
また、次のように設定することで、EWAN1インターフェースに対するICMPv6のPacket Too Bigメッセージをフィルタリングすることができます（PMTUD問題対策）。 

access-list 3500 deny icmpv6 any 2002:0901::1/64 packet-too-big



interface ewan 1

 ipv6 address 2002:0901::1/64

 ipv6 access-group 3500 in


・FITELnet-F40、E20/E30、MUCHOシリーズの例

次のように設定することで、全てのICMPパケットをフィルタリングすることができます。 

ipfiltering -d add dst=0.0.0.0,0.0.0.0 src=0.0.0.0,0.0.0.0 prot=icmp



○対策ファームウェア

各製品について、本脆弱性に対応したファームウェアを現在準備中です。
提供可能となりました製品につきましては、本ホームページにて随時お知らせいたします。

・FITELnet-F40　：V03.14のファームウェアにて対策しました(2005/05/31)。
・FITELnet-F100　：V02.01(00)のファームウェアにて対策しました(2005/06/17)。
・FITELnet-F1000　：V02.01(00)のファームウェアにて対策しました(2005/06/17)。
・FITELnet-F100　：V01.21(00)のファームウェアにて対策しました(2005/06/30)。
・FITELnet-F1000　：V01.12(00)のファームウェアにて対策しました(2005/06/30)。
・FITELnet-F120　：V02.01(00)のファームウェアにて対策しました(2005/11/24)。
・FITELnet-E30　：V02.08のファームウェアにて対策しました(2006/01/17)。
・FITELnet-E20　：V01.16のファームウェアにて対策しました(2006/01/17)。



このページに関するお問い合わせは こちら まで
All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2006