Critical
Critical
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Management Center for Cisco Security Agentsは、ディレクトリトラバーサルの脆弱性およびSQLインジェクションの脆弱性の影響を受けます。ディレクトリトラバーサルの脆弱性の不正利用に成功すると、認証された攻撃者がManagement Centerをホストするサーバから任意のファイルを表示およびダウンロードできる可能性があります。SQLインジェクションの脆弱性が悪用されると、認証された攻撃者がSQL文を実行して、製品の不安定さや設定の変更を引き起こす可能性があります。
また、Cisco Security Agentはサービス拒否(DoS)の脆弱性の影響を受けます。Cisco Security AgentエージェントのDoS脆弱性が不正利用されると、該当システムがクラッシュする可能性があります。この脆弱性が繰り返し悪用されると、DoS 状態が続く可能性があります。
これらの脆弱性は相互に関連していません。
シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20100217-csa で公開されています。
該当製品
脆弱性のある製品
Cisco Security Agentリリース5.1、5.2、および6.0は、SQLインジェクションの脆弱性の影響を受けます。ディレクトリトラバーサルの脆弱性の影響を受けるのは、Cisco Security Agentリリース6.0のみです。DoS脆弱性の影響を受けるのは、Cisco Security Agentリリース5.2のみです。
注：ディレクトリトラバーサルおよびSQLインジェクションの脆弱性の影響を受けるのは、Management Center for Cisco Security Agentsのみです。ユーザのエンドポイントにインストールされているエージェントは影響を受けません。
DoS脆弱性の影響を受けるのは、Cisco Security Agentリリース5.2 for Linux（マネージドまたはスタンドアロン）だけです（Windowsバージョンは影響を受けません）。
スタンドアロン・エージェントのLinuxバージョンは、次の製品にインストールされています。
-
Cisco Unified Communications Manager（CallManager）
-
IPCC Express
-
IP Interactive Voice Response（IP IVR）
-
Cisco Unified Meeting Place
-
Cisco Personal Assistant（PA）
-
Cisco Unity Connection
注：Cisco Security AgentのSun Solarisバージョンは、これらの脆弱性の影響を受けません。DoS脆弱性の影響を受けるのは、Cisco Security Agentリリース5.2 for Linux（マネージドまたはスタンドアロン）だけです。
脆弱性を含んでいないことが確認された製品
Cisco Security AgentのWindowsおよびSun Solarisバージョンは、これらの脆弱性の影響を受けません。DoS脆弱性の影響を受けるのは、Cisco Security Agentリリース5.2 for Linux（マネージドまたはスタンドアロン）だけです。
他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。
詳細
Cisco Security Agentは、サーバおよびデスクトップコンピューティングシステムに対する脅威を保護するセキュリティソフトウェアエージェントです。Cisco Security Agentは、スタンドアロンエージェントにすることも、Cisco Security Agent Management Centerで管理することもできます。
Management Center for Cisco Security Agentsは、ディレクトリトラバーサルの脆弱性およびSQLインジェクションの脆弱性の影響を受けます。
Management Center for Cisco Security Agentsのディレクトリトラバーサルの脆弱性
Management Center for Cisco Security Agentsは、ディレクトリトラバーサルの脆弱性の影響を受けます。この脆弱性により、認証された攻撃者は、Management Center for Cisco Security Agentsをホストしているサーバから任意のファイルを表示およびダウンロードできる可能性があります。
この脆弱性は、Cisco Bug ID CSCtd73275 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-0146が割り当てられています。
Management Center for Cisco Security AgentsのSQLインジェクションの脆弱性
Management Center for Cisco Security Agentsも、SQLインジェクションの脆弱性の影響を受けます。この脆弱性により、認証された攻撃者がSQL文を実行し、Management Center for Cisco Security Agentsが不安定になったり、設定が変更されたりする可能性があります。これらの設定変更により、エンドポイントのセキュリティポリシーが変更される可能性があります。さらに、攻撃者はManagement Center for Cisco Security Agentsにある管理ユーザアカウントを作成、削除、または変更する可能性があります。
この脆弱性は、Cisco Bug ID CSCtd73290 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-0147が割り当てられています。
Cisco Security Agentのサービス拒否の脆弱性
Cisco Security Agentは、認証されていない攻撃者が一連のTCPパケットを送信することでシステムをクラッシュさせることができるDoS脆弱性の影響を受けます。
注：このDoS脆弱性の影響を受けるのは、Cisco Security Agentリリース5.2だけです。Cisco Security AgentのWindowsバージョンとSun Solarisバージョンは、このDoS脆弱性の影響を受けません。
この脆弱性は、Cisco Bug ID CSCtb89870 (登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-0148が割り当てられています。
回避策
これらの脆弱性を軽減する回避策はありません。
ネットワーク内のシスコデバイスに適用可能な他の対応策は、このアドバイザリの付属ドキュメントである『Cisco Applied Intelligence』にて参照できます。
修正済みソフトウェア
アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。
|
脆弱性 |
Cisco Security Agentリリース |
最初の修正済みバージョン |
推奨リリース |
|
ディレクトリトラバーサルの脆弱性 |
5.1 |
脆弱性なし |
脆弱性なし |
|
5.2 |
脆弱性なし |
脆弱性なし |
|
|
6.0 |
6.0.1.132 |
6.0.1.132 |
|
|
SQLインジェクションの脆弱性 |
5.1 |
5.1.0.117 |
5.1.0.117 |
|
5.2 |
5.2.0.296 |
5.2.0.296 |
|
|
6.0 |
6.0.1.132 |
6.0.1.132 |
|
|
DoS脆弱性 |
5.1 |
脆弱性なし |
5.1.0.117 |
|
5.2 |
5.2.0.285 |
5.2.0.296 |
|
|
6.0 |
脆弱性なし |
6.0.1.132 |
Cisco CSAソフトウェアは、次のリンクからダウンロードできます。
https://sec.cloudapps.cisco.com/support/downloads/go/Redirect.x?mdfid=278065206
Cisco Unified Communications Manager（CallManager）
CUCMは、サービス拒否の脆弱性(CSCtb89870)の影響を受けるだけです。
CUCMリリース4.x、5.x、および8.xは、この脆弱性の影響を受けません。
CUCM 6.1(3)、6.1(4)、および7.1(3)よりも前の7.xバージョンには脆弱性が存在します。この脆弱性は、CUCM 6.1(5)以降および7.1(3)以降で修正されています。
Cisco Unity Connection
Cisco Unity Connectionは、サービス拒否の脆弱性(CSCtb89870)の影響を受けるだけです。
Connectionリリース1.xおよび8.xは、この脆弱性の影響を受けません。
Connection 2.1(3)、2.1(4)、および7.1(3)よりも前の7.xバージョンには脆弱性が存在します。この脆弱性は、Connection 2.1(5)以降および7.1(3)以降で修正されています。
推奨事項
不正利用事例と公式発表
このアドバイザリで説明されている脆弱性の公表や悪用に関する情報は Cisco PSIRT には寄せられていません。
ディレクトリトラバーサルとSQLインジェクションの脆弱性は、CigitalのGabriele Giuseppini氏によって発見され、シスコに報告されました。Cisco PSIRTは、研究者と協力してセキュリティの脆弱性に関する調査を行い、製品レポートで支援する機会を得たことを歓迎します。DoSの脆弱性は、シスコ内部でのテストによって発見されました。
URL
改訂履歴
|
リビジョン 1.2 |
2010年2月18日 |
CUCMに関する最新情報 |
|
リビジョン 1.1 |
2010年2月17日 |
CSA DoS脆弱性アップデート |
|
リビジョン 1.0 |
2010年2月17日 |
初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。