Cisco NX-OS の脆弱性を自分の版で確認する手順 — Software Checker と show version

「NX-OS 9.3(13) に該当する脆弱性は何か」「自分の版はどこまで直っているのか」を調べるとき、CVE 番号を検索して回るのは効率が悪く、抜けも出ます。Cisco は版を入力すると該当アドバイザリと修正版を返す公式ツールを用意しています。本記事では、稼働中の版の確認から結果の読み方までを、2026年8月4日に確認した一次情報で整理します。

結論：版ごとの該当は Software Checker で調べる

「NX-OS 9.3(13) に該当する CVE は何か」「9.3(1) にはどのパッチが要るのか」といった問いに答える公式の仕組みが Cisco Software Checker です。確認時点の URL は次のとおりでした。

• Cisco Software Checker： https://sec.cloudapps.cisco.com/security/center/softwarechecker.x
• Cisco Security Advisories（公開アドバイザリ一覧）： https://sec.cloudapps.cisco.com/security/center/publicationListing.x

Software Checker のページには、対応ソフトウェアとして次が挙げられていました（原文）。

Use the Cisco Software Checker to search for Cisco Security Advisories that apply to specific software releases of the following products: Cisco ASA, FMC, FTD, FXOS, IOS, IOS XE, NX-OS and NX-OS in ACI Mode.

Cisco のアドバイザリ本文にも、このツールが該当判定の標準手段として案内されています（原文）。

To help customers determine their exposure to vulnerabilities in Cisco NX-OS Software, Cisco provides the Cisco Software Checker. This tool identifies any Cisco security advisories that impact a specific software release and the earliest release that fixes the vulnerabilities that are described in each advisory ("First Fixed"). If applicable, the tool also returns the earliest release that fixes all the vulnerabilities described in all the advisories that the Software Checker identifies ("Combined First Fixed").

ここで重要なのが First Fixed と Combined First Fixed の2つの結果です。前者は「そのアドバイザリの問題が最初に直った版」、後者は「見つかったアドバイザリすべての問題が直る最も早い版」です。アップグレード先を決めるときに見るのは Combined First Fixed になります。個々のアドバイザリの First Fixed だけを見て版を選ぶと、他のアドバイザリが未修正のまま残ります。

先に知っておくべき2つの限界

Software Checker のページには、結果を読むうえで無視できない注記が2つあります（いずれも原文）。

This tool does not provide information about Cisco IOS XR Software or interim software builds. Also note that for Cisco ASA, FMC, FTD and FXOS Software, the tool only contains vulnerability information for Cisco Security Advisories first published from January, 2022 onward, and for NX-OS Software and NX-OS Software in ACI Mode from July, 2019 onward.

This tool is intended solely to query certain Cisco software releases against published Cisco Security Advisories; it does not account for enabled or disabled features.

• NX-OS は 2019年7月以降に初公開されたアドバイザリしか収録されていません。それより前のアドバイザリは Software Checker では出てきません。古い版を評価するときは、公開アドバイザリ一覧側での確認も併用してください。
• 機能の有効・無効は考慮されません。「該当と出た＝必ず悪用可能」ではありません。各アドバイザリの Vulnerable Products / Indicators に書かれている前提条件（該当機能が有効か、特定の設定になっているか）を読み、自分の構成と突き合わせる作業は別途必要です。

手順1：自分の版を正確に把握する

Software Checker には版番号を入力するので、まず稼働中の版を確認します。Cisco Nexus 9000 シリーズの NX-OS コマンドリファレンス（Release 10.4(x)）には、show version が「Show the software version」として記載されています。実行モードは /exec です。

switch# show version

出力のどのフィールドを読むかは機種によって異なります。Cisco の公式ガイドに載っている出力例で確認しておきます。

Nexus 9000 系（単一の NXOS イメージ）

switch# show version
...
Software
  BIOS: version 08.26
  NXOS: version 7.0(3)I7(1)
  BIOS compile time:  06/12/2016
  NXOS image file is: bootflash:///nxos.7.0.3.I7.1.b

Software ブロックの NXOS: version が、Software Checker に入力する版です。

Nexus 7000 系（kickstart と system の2イメージ）

switch# show version
...
Software
  BIOS:      version 3.1.0
  kickstart: version 8.0(1)
  system:    version 8.0(1)

この形式では system: version が該当します（通常は kickstart: version と一致します）。

手順2：Software Checker に入力する

ページには3つの入力方法が示されていました。

• A. Search By Release — Cisco のオペレーティングシステムを選び、版を指定する
• B. Use Show Version Command Output — show version の出力をそのまま貼り付ける
• C. Upload a .txt file from your local system — 版を列挙したテキストファイルをアップロードする

台数が多い環境では C が効率的です。1台だけ、あるいは出力の読み方に自信がない場合は B が確実です。

Cisco のアドバイザリに掲載されている使い方は次の5ステップです（原文）。

1. Choose which advisories the tool will search-only this advisory, only advisories with a Critical or High Security Impact Rating (SIR), or all advisories.
2. Choose the appropriate software.
3. Choose the appropriate platform.
4. Enter a release number-for example, 10.4(4) for Cisco Nexus 3000 Series Switches or 16.0(8e) for Cisco NX-OS Software in ACI mode.
5. Click Check.

1番目の選択肢に注意してください。既定で「そのアドバイザリだけ」を見る使い方もできるため、棚卸しの目的なら「all advisories」を選ぶ必要があります。Critical / High だけに絞ると Medium 以下が漏れます。

ソフトウェアとプラットフォームの選択肢

アドバイザリに埋め込まれた同じ検索フォームで確認できた選択肢は次のとおりです。

NX-OS は Nexus 系だけでなく MDS 9000（ストレージネットワーキング）も対象に含まれます。ACI モードは別ソフトウェアとして選択します。

版番号の書式に注意する

NX-OS の版は メジャー.マイナー(メンテナンス) の形で、末尾に文字が付くことがあります。Cisco 自身が例として挙げているのは 10.4(4)（Nexus 3000 の NX-OS）と 16.0(8e)（ACI モード）です。9.3(13) や 9.3(1) も同じ形式です。

古い Nexus 9000 では 7.0(3)I7(1) のような拡張された形式も使われていました（上の show version 出力例がそれです）。入力時は出力に表示されている文字列をそのまま使うのが最も安全です。省略したり、括弧を外したりしないでください。

なお、同ページからは Nexus 3000 / 9000 の 9.3(x) 系に関する End-of-Sale / End-of-Life 告知ページへのリンクが張られています。9.3 系を運用している場合は、脆弱性対応とあわせてライフサイクルの確認も必要です。時期などの具体的な内容は本記事では扱いません。必ず告知ページ本体を確認してください。

手順3：結果を運用に落とす

1. Combined First Fixed を目標版にする。 個別の First Fixed で止めない。
2. 目標版が推奨リリースと矛盾しないか確認する。 ハードウェアが対応していない版は選べません。
3. 各アドバイザリの前提条件を読む。 Software Checker は機能の有効・無効を見ないため、該当と出た項目のうち、実際に自分の構成で成立するものを絞り込みます。
4. 2019年7月より前のアドバイザリを別途確認する。 古い版を長く運用している環境ほど、この穴が効いてきます。
5. 継続的に回す仕組みにする。 Cisco はアドバイザリ一覧のほかに、CVRF リポジトリ、Cisco PSIRT openVuln API、Cisco Vulnerability Repository、Bug Search を案内しています。台数が多い環境では API 経由で自動化する余地があります。

脆弱性を報告する側になったら

Cisco の Security Vulnerability Policy には、報告の受付について次の記載があります。窓口は psirt@cisco.com で、「This is the most effective method」とされています。また同ポリシーは、PSIRT の運用が ISO/IEC 29147:2018 に沿っていると述べています。ポリシー自体の位置づけは次のとおりです（原文）。

This policy was created to guide and inform Cisco customers in the event of a reported vulnerability in a Cisco product or cloud-hosted service. It ensures that Cisco customers have a consistent, unambiguous resource to help them understand how Cisco responds to events of this nature.