要約

  • Ciscoは9月11日の改訂で、IOS XR 26.2.2と26.3.1の提供状況を更新した。両版は、今回の告知に記載された修正を含む最初の統合版とされている。
  • 修正版への移行と個別のSMU適用では、確認すべき内容が異なる。ファイルを入手した事実だけでは、ネットワークの修正完了を示せない。

保守サービスの見積もりに「ソフトウェア更新」と書かれていても、何をもって納品とするかは自明ではない。ファイルの提供なのか、インストールなのか、それとも稼働状態まで確認した変更なのか。Ciscoが更新したIOS XRのセキュリティ告知は、この違いを具体的な選択肢として示している。

告知の第2.0版は9月11日付で、26.2.2と26.3.1の提供状況を更新している。Ciscoは、この二つを告知に記載された修正を組み込んだ最初の版としている。初回公表は9月2日だった。11日に新たな攻撃が判明したという話でも、同日に初めて問題が公表されたという話でもない。

統合された修正版を選べば、修正を別々のパッケージとして管理する作業を減らせる可能性がある。一方、その版が実際のハードウェア、設定、必要な機能を引き続き支えるかを確認する必要がある。Software Maintenance Update、すなわちSMUは、特定の版、構成要素、プラットフォームに対応する。変更範囲を限定できる場合があっても、適切な組み合わせを選び、導入後の状態を確かめる仕事は残る。

選択肢 簡素化できる可能性がある作業 なお必要な確認
修正を統合した版への移行 告知に対応する修正の個別管理 使用中の機器・設定への適合性と変更結果
適用可能なSMUの利用 特定のソフトウェア系統での修正 パッケージの適用範囲、導入時の影響、実際の適用状態

どちらが安いかを一律に決められる価格情報は、告知にはない。機器や設定がそろった網と、拠点ごとに例外を抱えた網では、必要な検証が違う。同じ修正ソフトウェアを受け取っても、導入に要する仕事まで同じになるわけではない。

Ciscoは一つの版に対して約16件のSMUが用意される場合があると説明するが、すべてのパッケージがすべての版とプラットフォームに適用されるとはしていない。表には提供済みと今後の提供予定が混在し、光伝送機器に関する限定や機能別の例外もある。「16個を全台に入れる」という読み方では、必要な条件が抜け落ちる。

脆弱性の数についても注意が要る。Ciscoは社内で発見した複数の問題を弱点の種類ごとにまとめ、それぞれにCVE識別子を付けている。七つの識別子は、独立した不具合が七件だけだという証明ではない。各グループのスコアは、その中で潜在的な影響が最も大きい脆弱性の深刻度を示す。管理資料の単純な件数へ置き換えると、元の意味が変わってしまう。

Ciscoの一般的なSMU解説によれば、パッケージは版、構成要素、プラットフォームに依存する。READMEには再起動の種類とインストール時の影響が記載される。プロセスの再起動でもトラフィック損失があり得るほか、サービスを継続しながらの更新が可能かどうかはOSと機器の対応に左右される。一般解説だけで、今回の各パッケージを無停止で導入できるとは判断できない。

費用の境界も別途確認が必要だ。告知は有効なライセンスなどの取得条件を維持し、Ciscoのサービス契約を持たない顧客を含む一定の顧客について、TACを通じて無償更新を求める手順を説明している。誰でも無条件にダウンロードできるという意味ではない。取得条件を満たしても、検証環境、担当者の時間、余裕容量、合意された作業時間帯まで無償で供給されるわけではない。

Ciscoは問題を内部テストで発見し、現時点で能動的な悪用は知られていないとしている。これは同社の認識であり、未修正の設備が安全だという保証ではない。また、これらの脆弱性を修正する回避策はないと明記している。保守予算の検討は修正を実施するためのもので、修正の代替にはならない。

顧客の障害、導入率、実際の保守請求額は、今回の資料では確認できない。確認できるのは、統合版という選択肢の提供状況が変わったことだ。パッケージ管理を減らす効果と、版全体を検証する負担のどちらが大きいかは、実際の網と契約範囲によって決まる。