IPv6 Unicast RPF 機能の脆弱性

SEILシリーズの該当状況

以下のバージョンにおいて影響を受けます。

SEILシリーズへの影響内容

IPv6 Unicast Reverse Path Forwarding (Unicast RPF) チェック機能が strict モードで正しく動作しません。 このため本来破棄されるべきパケットが破棄されず、受信または転送されてしまいます。 コンフィグ "option ipv6 unicast-rpf strict" を設定している場合に本脆弱性の影響を 受けます。 IPv6 uRPF 機能を利用していても loose モードの場合("option ipv6 unicast-rpf loose") は本脆弱性の影響を受けません。 また、IPv4 uRPF 機能("option ip unicast-rpf ...") も本脆弱性の影響を受けません。

SEILシリーズにおける対応

本脆弱性を修正したファームウェアをリリースしました。

下記のバージョン以降への早急な変更を推奨します。

設定による回避

本脆弱性の影響を低減させるために可能な対策を下記に記載します。

1. IPv6フィルタによるアクセス制限

   • 静的ルーティングのみを利用している場合など、ネットワークの構成によっては filter6 コマンドによるパケットフィルタで IPv6 uRPF 機能の代替とし、本脆弱性の影響を回避 できる場合があります。 送信元 IP アドレスが内部ネットワークのアドレスであるようなパケットが外部インタフェー スから入ってきた場合にそれを破棄するようなパケットフィルタを設定してください。

関連情報

1. Japan Vulnerability Notes JVN#12683004

   • IPv6 Unicast RPF 機能の脆弱性 http://jvn.jp/jp/JVN12683004/index.html