High
High
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco Show and ShareのWebキャストおよびビデオ共有アプリケーションには、2つの脆弱性が存在します。
1つ目の脆弱性では、認証されていないユーザが複数の管理Webページにアクセスできます。
2つ目の脆弱性は、認証されたユーザがWebサーバのユーザアカウントの権限でデバイス上の任意のコードを実行することを可能にします。
シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。
これらの脆弱性に対する回避策はありません。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20111019-sns で公開されています。注：2011年10月18日以降、シスコはCisco PSIRTが公開する最新のCisco Security Advisories and Responsesのリストを移動しました。新しい場所はhttps://sec.cloudapps.cisco.com/security/center/publicationListingです。また、Cisco Security(SIO)ポータルのCisco Products and Servicesメニューからこのページに移動することもできます。この移行に伴い、新しいCisco Security Advisories and Responsesが新しい場所に公開されます。URLは変更されていますが、セキュリティドキュメントの内容と脆弱性ポリシーは影響を受けません。シスコは、公開されているセキュリティ脆弱性ポリシーに従って、セキュリティ脆弱性の開示を継続します。
該当製品
脆弱性のある製品
これらの脆弱性は、このCisco Security Advisoryの「ソフトウェアバージョンと修正」セクションに記載されている最初の修正済みリリースより前のCisco Show and Shareのすべてのバージョンに影響を与えます。
アプライアンスで実行されているCisco Show and Shareソフトウェアリリースは、管理者がアプライアンス管理インターフェイス(AAI)にログインしてメインメニューにアクセスすることで確認できます。ソフトウェアバージョンは、Cisco Show and Shareフィールドの横に表示されます。次の例は、バージョン5.2.2を実行しているCisco Show and Shareアプライアンスを示しています
Cisco Show and Share Application Administration Interface
Main Menu
IP: 192.168.0.1
Cisco Show and Share 5.2.2
http://sns.example.com/vportal
SHOW_INFO Show system information.
BACKUP_AND_RESTORE Back up and restore.
APPLIANCE_CONTROL Configure advance options
NETWORK_SETTINGS Configure network parameters.
DATE_TIME_SETTINGS Configure date and time
CERTIFICATE_MANAGEMENT Manage all certificates in the system
< OK > <LOG OUT>
脆弱性を含んでいないことが確認された製品
次の製品には脆弱性が存在しないことが確認されています。
- Cisco Video Portal
他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。
詳細
Cisco Show and Shareは、Webキャストおよびビデオ共有アプリケーションです。このアプリケーションを使用すると、安全なビデオコミュニティを作成して、アイデアや専門知識を共有したり、グローバルビデオコラボレーションを最適化したり、ユーザが作成したコンテンツを顧客、従業員、および学生間でカスタマイズしたりできます。
Cisco Show and Shareは、ライブおよびオンデマンドのビデオコンテンツを作成し、特定のコンテンツを視聴できるユーザを定義する機能を提供します。コメント、評価、単語のタグ付けなどのビューアコラボレーションツールを提供し、包括的なアクセスレポートを提供します。
Cisco Show and Shareには次の脆弱性が存在します。
- 匿名ユーザーは一部の管理ページにアクセスできます
Cisco Show and Shareの複数の管理Webページには、ユーザ認証なしでアクセスできます。これには、エンコーダとプル設定、プッシュ設定、ビデオエンコーディング形式、およびトランスコーディングにアクセスするためのページが含まれます。
この脆弱性は、Cisco Bug ID CSCto73758 (登録ユーザ専用)として文書化され、CVE IDとしてCVE-2011-2584が割り当てられています。
- Cisco Show and Shareにおける任意のコード実行の脆弱性
ビデオをアップロードする権限を持つ認証されたユーザが、Webサーバの権限で実行できるコードをアップロードする可能性があります。
注：Webサーバは非ルートユーザとして動作します。 これらの各管理ページにアクセスすることによる影響の詳細については、このCisco Security Advisoryの「影響」セクションを参照してください。
この脆弱性は、Cisco Bug ID CSCto69857 (登録ユーザ専用)として文書化され、CVE IDとしてCVE-2011-2585が割り当てられています。
回避策
修正済みソフトウェア
アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。
次のソフトウェアテーブルの各行は、Cisco SnSリリーストレインを示しています。特定のリリーストレインに脆弱性が存在する場合、その修正を含む最初のリリース（および該当する場合はその修正のリリース予定日）が表の「最初の修正リリース」列に一覧表示されます。「推奨リリース」列には、このアドバイザリが作成された時点で発表されているすべての脆弱性の修正を含むリリースが記載されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。表の「推奨リリース」列に記載されているリリース、またはそれよりも新しいリリースにアップグレードすることを推奨します。
次のソフトウェアテーブルの各行は、Cisco Show and Shareリリーストレインを示しています。特定のリリーストレインに脆弱性が存在する場合、その修正を含む最初のリリースが表の「最初の修正リリース」列に記載されます。「First Fixed Release」よりも前のリリースが特定のトレインで実行されているデバイスには、脆弱性が存在することが確認されています。シスコでは、表の「First Fixed Release」列のリリース、またはそれ以降のリリースにアップグレードすることをお勧めします。
警告： MCSサーバアプライアンスのサポートに関するCisco Show and Shareバージョン5.2(3)のリリースノートを参照してください。
次のMCSサーバアプライアンスは、Cisco Show and Shareバージョン5.2(3)ではサポートされていません。管理者は、推奨リリース5.2(2.1)以降を使用する必要があります。
- MCS 7825-H2
- MCS 7825-H3
- MCS 7835-H1
- MCS 7835-H2
MCSサーバアプライアンスのサポートの詳細については、次のリンクにあるCisco Digital Media Suite 5.2.xのリリースノートを参照してください。http://www.cisco.com/en/US/docs/video/digital_media_systems/5_x/5_2/dms/release/notes/dms52rn.html#wp232018
| Cisco Show and Shareリリース | First Fixed Release（修正された最初のリリース） |
|---|---|
| 5(2) | 脆弱性あり、5.2(2.1)への移行が必要 |
| 5.2(1) | 脆弱性あり、5.2(2.1)への移行が必要 |
| 5.2(2) | 5.2（2.1） |
| 5.2(3) | 脆弱性なし |
注：Cisco Show and Shareバージョン5.2(3)に関して、上記の警告をお読みください。
Cisco Show and Shareソフトウェアアップグレードは、http://www.cisco.com/cisco/software/type.html?mdfid=280171242&catid=268438145からダウンロードできます。
推奨事項
不正利用事例と公式発表
Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。
これらの脆弱性は、Stratsec社のAndy Yang氏とMehdi Kiani氏によって発見され、シスコに報告されました。
URL
改訂履歴
|
リビジョン 1.0 |
2011年10月19日 |
初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。