ncsshd プロセスにてメモリリークが発生する

JapanTAC_CSC · ‎2025-04-23

2025年4月23日 (初版)

TAC SR Collection

主な問題

使用しているトラストポイントにキーがないために ncsshd プロセスが何度も検索を繰り返すことにより、
少量のメモリリークを引き起こし続ける事象となります。その結果メモリリークが継続する状態となります。

■該当有無の確認方法
1) NCSSHD が使用しているトラストポイントを特定します。

#show logging process ncsshd internal reverse | sec key name 
{ncsshd_bp_R0-0}{255}: [ncsshd] [20970]: (note): [pid(21245)] key name from certificate chain is TAC
{ncsshd_bp_R0-0}{255}: [ncsshd] [20970]: (note): [pid(21245)] key name from certificate chain is TAC

2) 以下トラストポイントにキーが関連付けられていないことを確認します。

#show crypto pki trustpoints  TAC status 
Trustpoint TAC:
<SNIP>
  State:
    Keys generated ............. No ------------> No keys!!
    Issuing CA authenticated ....... Yes
    Certificate request(s) ..... Yes

3) ncsshd のトレースログメッセージに以下が表示されていることを確認します。

{ncsshd_R0-0}{255}: [tps-client] [21245]: (note): Send get TP request to IOS. seqnum 245445, tp_label NULL
{ncsshd_bp_R0-0}{255}: [ncsshd] [20970]: (ERR): [pid(21245)] error: hostkeys not loaded
{ncsshd_bp_R0-0}{255}: [ncsshd] [20970]: (ERR): [pid(21245)] error: Trustpoint does not have a cert

原因

この問題は、CSCwh64903 として報告されています。

解決策

以下を実施いただくことで不具合を回避することができます。
1) 最初に以下のようにキーを生成します。

router(config)#crypto key generate rsa label TAC  modulus 4096 
The name for the keys will be: TAC

2)次に、証明書を登録します。

router(config)#crypto pki enroll TAC
% Include the router serial number in the subject name? [yes/no]: no
% Include an IP address in the subject name? [no]: no
Generate Self Signed Router Certificate? [yes/no]: yes

3)トラストポイントにキーが関連付けられていることを確認します。

router#show crypto pki trustpoints  TAC status 
Trustpoint TAC:
<SNIP>
  State:
    Keys generated ............. Yes (General Purpose, non-exportable)
    Issuing CA authenticated ....... Yes
    Certificate request(s) ..... Yes

4) ncsshd のログから、プロセスがキーを取得できたメッセージが表示されます。

{ncsshd_bp_R0-0}{255}: [ncsshd] [20970]: (note): [pid(21245)] Private key retrieved succesfully
{ncsshd_bp_R0-0}{255}: [ncsshd] [20970]: (note): [pid(21245)] Public key retrieved succesfully
{ncsshd_bp_R0-0}{255}: [ncsshd] [20970]: (note): [pid(21245)] key name from certificate chain is TAC
{ncsshd_bp_R0-0}{255}: [ncsshd] [20970]: (note): [pid(21245)] Found usable trustpoint: TAC

なお、恒久的な対策は
CSCwh64903 の修正が適用されたソフトウェアの使用となります。

備考
本不具合は、Bug Search Tool でも確認できます。
各製品の TAC SR Collection の一覧は、よくある質問と解決方法 (TAC SR Collection) から確認できます。