Informational
Informational
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco WebEx Meetingsは、数百人の参加者をサポートするビデオ会議、画面共有、およびオンラインセミナー機能を提供するオンライン会議をホストするためのエンタープライズソリューションです。Cisco Webex Meetingsは、9桁の番号を使って、あらゆるタイプのエンドポイントから簡単に会議に参加できる使いやすい会議IDを提供します。
2019年7月24日、Cequence SecurityのShreyans Mehta氏とCQ Prime Research Teamは、攻撃者がWebex Meetings APIの呼び出しの1つを利用して、特定の時点でプラットフォーム上の組織が使用しているすべての会議番号を列挙する可能性があることをシスコに報告しました。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191001-webex-enum
脆弱性のある製品
脆弱性を含んでいないことが確認された製品
このアドバイザリの脆弱性のある製品セクションに記載されている製品のみが、この攻撃方法の影響を受けることが分かっています。
シスコは、オンプレミスの導入に使用されるCisco Webex Meeting Serverがこの動作を示さないことを確認しました。
詳細
Cequence Security社のShreyans Mehta氏とCQ Prime Research Teamの報告によると、Webex API呼び出しの1つを使用して、進行中の会議または将来の会議のすべての会議番号を列挙できる可能性があります。呼び出されたAPIコールに対する応答により、攻撃者は次の項目を判別できます。
- 特定の会議番号が使用されているかどうか。
- 会議がパスワードで保護されているかどうか
攻撃者は、収集した情報を使用して、パスワードで保護されていない会議への参加を試みる可能性があります。攻撃者がこの情報を使用して会議に参加した場合でも、参加者としてリストされ、ホストによって退席させられる可能性があります。パスワードで保護された会議の場合、攻撃者は会議番号を回復できますが、会議のタイトル、スケジュール、ホスト名を明らかにしたり、会議に参加したりすることはできません。
推奨事項
シスコでは、ユーザが会議を設定する際にパスワードの使用を必須にするデフォルト設定でサイトを維持することを管理者に推奨しています。この推奨事項とその他のセキュリティベストプラクティスについては、『サイト管理者およびホストのためのセキュアな会議に関するCisco WebExベストプラクティス』ガイドを参照してください。
Cisco Webexでは、パスワード保護が必須ではないサイトでの会議の設定プロセスの一環として、ランダムに生成されるデフォルトのパスワードが提供されます。お客様は、このパスワードをユーザ定義のパスワードで上書きするか、サイトで許可されている場合はパスワード保護を無効にすることができます。
不正利用事例と公式発表
Cisco Product Security Incident Response Team(PSIRT)では、本アドバイザリに記載されている攻撃方法の不正利用事例は確認しておりません。
出典
シスコは、この攻撃方法を報告していただいたCequence Security社のShreyans Mehta氏とCQ Prime Research Teamに感謝いたします。
URL
改訂履歴
| バージョン | 説明 | セクション | ステータス | 日付 |
|---|---|---|---|---|
| 1.0 | 初回公開リリース | — | Final | 2019年10月1日 |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。