High
High
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco Prime Data Center Network Manager（DCNM）には、未認証のリモート攻撃者が基盤となるオペレーティングシステムから任意のファイルを取得できる、ファイル情報漏えいの脆弱性が含まれています。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。
これらの脆弱性に対しては回避策がありません。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150401-dcnm
該当製品
脆弱性のある製品
Microsoft Windows と Linux の両方のプラットフォームにおいて、Cisco Prime DCNM の 6.3(1) 以降、7.1(1) より前のリリースがこの脆弱性の影響を受けます。
実行中の Cisco Prime DCNM リリースを確認するには、管理者が Web ブラウザと HTTPS を使用して Cisco Prime DCNM ソフトウェアを実行するコンピュータに接続してください。ログインする前に、ログインページにリリース番号が表示されます。次の例は、バージョン 7.0(2) を実行するデバイスを示しています。
Cisco Prime Data Center Network Manager Version: 7.0(2)
脆弱性を含んでいないことが確認された製品
Cisco DCNM-LAN サーバーと Cisco DCNM-SAN サーバーは、6.1(1) のリリースで 1 つの Cisco Prime DCNM 製品に統合されており、それより前は異なる製品でした。Cisco DCNM-LAN サーバーおよび Cisco DCNM-SAN サーバーの元のスタンドアロン バージョン、および 6.3(1) より前の統合バージョンは、この脆弱性の影響を受けません。
他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。
詳細
Cisco Prime DCNM（旧製品名：Cisco Data Center Network Manager）は、イーサネットとストレージネットワークの管理を 1 つのダッシュボードに統合するネットワーク管理アプリケーションです。このアプリケーションを使用すると、ネットワークとストレージの管理者は、Cisco NX-OS ソフトウェアを実行するさまざまなシスコ製品ファミリの正常性とパフォーマンスを管理およびトラブルシュートできます。
Cisco Prime DCNM は、次の脆弱性の影響を受けます。
Cisco Prime Data Center Network Manager のディレクトリトラバーサルの脆弱性
Cisco Prime Data Center Network Manager の fmserver サーブレットに脆弱性があり、未認証のリモート攻撃者がファイルシステムから任意のファイルを取得できる可能性があります。
この脆弱性は、提供されたパス情報の入力検証が無効であることに起因します。攻撃者は、該当システムでディレクトリトラバーサル攻撃を実行することにより、この脆弱性をエクスプロイトできます。エクスプロイトに成功すると、攻撃者は、Cisco Prime DCNM アプリケーションをホストする基盤のオペレーティングシステム上の任意のファイルコンテンツを公開できる可能性があります。攻撃者がファイルコンテンツをエクスプロイトするには、Cisco Prime DCNM が Microsoft Windows で実行されている場合はシステムユーザー、Linux で実行されている場合は root ユーザーがそのファイルコンテンツを読み取れる必要があります。
この脆弱性は、Cisco Bug ID CSCus00241（登録ユーザー専用）で文書化され、CVE（Common Vulnerabilities and Exposures）ID に CVE-2015-0666 が割り当てられています。
回避策
この脆弱性を軽減する回避策はありません。
修正済みソフトウェア
ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt のシスコ セキュリティ アドバイザリ、応答、および通知のアーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。
この脆弱性はCisco DCNMのソフトウェア バージョン7.1(1)で最初に解決された。
Cisco Prime DCNM は Cisco.com の Software Center からダウンロードできます。Software Center にアクセスするには、http://www.cisco.com/cisco/software/navigator.html で [製品（Products）] > [クラウドおよびシステム管理（Cloud and Systems Management）] > [データセンター インフラストラクチャ管理（Data Center Infrastructure Management）] > [Cisco Prime Data Center Network Manager] の順に移動するか、リンク https://software.cisco.com/download/release.html に直接アクセスしてください。
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）は、2022 年 3 月に、この脆弱性のさらなるエクスプロイトが試みられたことを認識しました。これらの脆弱性が修正済みのソフトウェアリリースにアップグレードすることを、引き続き強くお勧めします。
この脆弱性は、HP 社の Zero Day Initiative に協力している Andrea Micalizzi（rgod）氏によってシスコに報告されました。
出典
URL
改訂履歴
| バージョン | 説明 | セクション | ステータス | 日付 |
|---|---|---|---|---|
| 1.1 | エクスプロイトに関する情報を更新。 | 不正利用事例と公式発表 | Final | 2023 年 1 月 12 日 |
| 1.0 | 初版リリース | — | 2015 年 4 月 1 日 |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。