Critical
Critical
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco WebEx Recording Format(WRF)Playerには、バッファオーバーフローを引き起こす脆弱性が複数存在します。場合によっては、脆弱性の不正利用により、リモート攻撃者がターゲットユーザのシステムで任意のコードを実行する可能性があります。
Cisco WebEx WRF Playerは、オンライン会議出席者のコンピュータに記録されたWebEx会議の録画を再生するアプリケーションです。WRFプレーヤーは、ユーザがWebExサーバでホストされているWRFファイルにアクセスすると自動的にインストールされます。WRFプレーヤーは、www.webex.comからアプリケーションをダウンロードした後、オフラインで再生するために手動でインストールすることもで
きます。
WRF Playerが自動的にインストールされている場合、WebExサーバでホストされているWRFファイルにユーザがアクセスすると、WebEx WRF Playerが脆弱性のない最新バージョンに自動的にアップグレードされます。WebEx WRF Playerを手動でインストールした場合、ユーザはwww.webex.comから最新バージョンをダウンロードした後、新しいバージョンのプレーヤーを手動でインストールする必要があります。
シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20091216-webex で公開されています。
該当製品
脆弱性のある製品
このアドバイザリで公開される脆弱性は、Cisco WebEx WRF Playerに影響を与えます。Microsoft Windows、Apple Mac OS X、およびLinuxバージョンのプレーヤーが影響を受けます。影響を受けるWRF Playerのバージョンは、このアドバイザリの「ソフトウェアバージョンおよび修正」セクションに記載されている「最初の修正」バージョンより前のバージョンです。
Cisco WebExサーバで該当するバージョンのWebExクライアントビルドが実行されているかどうかを確認するには、Cisco WebExサーバにログインして、「サポート」>「ダウンロード」セクションに移動します。WebExクライアントビルドのバージョンは、ページの右側の[About Support Center]の下に表示されます（例：「Client build: 27.11.0.3328」）。
http://www.webex.com/downloadplayer.htmlから入手できる最新バージョンのプレーヤーにアップグレードすることを推奨します。ただし、インストールされているWRFプレーヤーのバージョンを確認すれば、これらの脆弱性の影響を受けるかどうかを判断できます。これを行うには、管理者はインストールされたファイルのバージョン番号を調べ、すべてのバージョンのファイルに修正コードが含まれているかどうかを確認する必要があります。バージョン番号の確認方法の詳細については、以降のセクションで説明します。
Microsoft Windows
このアドバイザリで説明されている脆弱性に対処するために、Microsoft Windowsプラットフォームで更新された3つのダイナミックリンクライブラリ(DLL)があります。これらのファイルは、C:\Program Files\WebEx\Record Playbackフォルダにあります。DLLのバージョン番号を確認するには、WindowsエクスプローラでRecord Playbackディレクトリを参照し、ファイル名を右クリックしてプロパティを表示します。[プロパティ]ページの[バージョン]タブまたは[詳細]タブには、ライブラリのバージョンに関する詳細が表示されます。次の表に、各DLLの最初の修正バージョン番号を示します。インストールされているバージョンが表に示されているバージョン以上の場合、システムは脆弱ではありません。
|
ライブラリ |
T26 |
T27 |
|---|---|---|
|
ATAS32.DLL |
2.5.49.4 |
2.6.10.1 |
|
ataudio.dll（音声ファイル） |
26.2009.6.6 |
27.2009.6.17 |
|
atrpui.dll |
921.2008.7.2326 |
921.2009.6.2027 |
Mac
このアドバイザリで説明されている脆弱性に対処するためにMacintoshプラットフォームで更新された2つのパッケージバンドルがあります。これらのファイルは各ユーザのホームディレクトリにあり、T26を実行するサーバに接続されたシステムの場合は～/Library/Application Support/WebEx Folder/824、T27を実行するサーバに接続されたシステムの場合は～/Library/Application Support/WebEx Folder/924にアクセスできます。バージョンを確認するには、Finderで該当するフォルダを参照し、Ctrlキーを押しながらファイル名をクリックします。メニューが表示されたら、 「パッケージの内容を表示」を選択し、Info.plistファイルをダブルクリックします。表示されたテーブルの下部にバージョン番号が表示されます。
|
バンドル |
T26 |
T27 |
|---|---|---|
|
ataudio.バンドル |
7.5.0.5 |
8.5.0.2 |
|
WebExプレーヤー.app |
8.0.1.3 |
10.14.11.7 |
Linux
このアドバイザリで説明されている脆弱性に対処するためにLinuxプラットフォームで更新された2つの共有オブジェクトがあります。これらのファイルは～/.webexディレクトリにあります。共有オブジェクトのバージョン番号は、「ls」コマンドを使用してディレクトリリストを実行することで取得できます。バージョン番号は.so拡張子の後に記載されています。次の表に、脆弱性のない最初のバージョンの各オブジェクトを示します。
|
共有オブジェクト |
T26 |
T27 |
|---|---|---|
|
ataudio.so（音声ファイルあり） |
1.0.26.7 |
1.27.13.1 |
|
確かに |
1.0.26.14 |
1.0.27.12 |
脆弱性を含んでいないことが確認された製品
WebEx Advanced Recording Format(ARF)ファイル形式のCisco WebEx Playerは、これらの脆弱性の影響を受けません。
他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。
詳細
WebEx会議サービスは、Cisco WebExによって管理および維持されるホステッドマルチメディア会議ソリューションです。WebEx Recording Format(WRF)は、オンライン会議出席者のコンピュータに記録されたWebEx会議の録画を保存するために使用されるファイル形式です。WRFプレーヤーは、WRFファイル（.wrf拡張子が付いたファイル）を再生および編集するためのアプリケーションです。WRF Playerは、WebExサーバ上でホストされているWRFファイルにアクセスすると自動的にインストールされます（ストリーム再生モード）。WRFプレーヤーは、www.webex.comからアプリケーションをダウンロードして手動でインストールし、WRFファイルをローカルで再生することもできます（オフライン再生モード）。
WRF Playerには、複数のバッファオーバーフローの脆弱性が存在します。これらの脆弱性は、WRF Playerアプリケーションのクラッシュや、場合によってはリモートコード実行の原因となる可能性があります。
脆弱性を不正利用するには、悪意のあるWRFファイルをWRF Playerアプリケーションで開く必要があります。攻撃者は、悪意のあるWRFファイルをユーザに直接提供する（たとえば、電子メールを使用する）か、悪意のあるWebサイトにアクセスするようユーザを誘導することで、これを実現できる可能性があります。この脆弱性は、WebEx会議に参加しているユーザによって引き起こされることはありません。
これらの脆弱性には、次のCommon Vulnerabilities and Exposures(CVE)識別子が割り当てられています。
-
CVE-2009-2875
-
CVE-2009-2876
-
CVE-2009-2877
-
CVE-2009-2878
-
CVE-2009-2879
-
CVE-2009-2880
回避策
このアドバイザリで公開されている脆弱性に対する回避策はありません。
修正済みソフトウェア
次の表に、WebExサイトでホストされているWRFにアクセスすると（ストリーム再生モード）、WebExサイトから自動的にダウンロードされるCisco WebEx WRF Playerの「初回修正」情報を示します。修正はメジャーリリース内で累積されるため、たとえばリリース27.10.1が修正された場合、リリース27.10.2にも修正が適用されます。
|
Platform |
メジャーリリース26.x |
メジャーリリース27.x |
|
Microsoft Windows |
26.49.32：ロックダウンサイトを除き現在利用可能 |
27.10.x（PSOおよびロックダウン以外のサイトで利用可能） |
|
Mac OS X |
26.49.35（2010年2月上旬に入手可能） |
27.11.8:PSOおよびロックダウンサイト以外で利用可能 |
|
Linux |
26.49.35（2010年2月上旬に入手可能） |
27.11.8:PSOおよびロックダウンサイト以外で利用可能 |
27.xを実行しているPSOおよびロックダウンサイトは、次の緊急パッチ適用(EP)サイクル中にこれらの脆弱性に対する修正を受け取ります。このアドバイザリは、利用可能になった特定のスケジュールを示すために更新されます。
WRF Playerが自動的にインストールされている場合、WebExサーバでホストされているWRFファイルにユーザがアクセスすると、WebEx WRF Playerが脆弱性のない最新バージョンに自動的にアップグレードされます。
WebEx WRF Playerを手動でインストールした場合、ユーザはwww.webex.comから最新バージョンをダウンロードした後、新しいバージョンのプレーヤーを手動でインストールする必要があります。
推奨事項
不正利用事例と公式発表
Cisco PSIRTでは、本アドバイザリに記載されている脆弱性の不正利用事例は確認しておりません。
これらの脆弱性は、Fortinet社のFortiGuard LabsのXiaopeng Zhang氏とZhenhua Liu氏によって発見され、シスコに報告されました。FortiGuard Labsのアドバイザリは、http://www.fortiguard.comで確認できます。シスコは、これらの脆弱性を報告いただき、弊社と連携しての情報公開にご協力いただいたFortiGuard Labsに感謝いたします。
URL
改訂履歴
|
リビジョン 1.1 |
2009年12月23日 |
「脆弱性が存在する製品」セクションを改訂 |
|
リビジョン 1.0 |
2009年12月16日 |
初版リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。