High
High
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Sudo コードを解析するコマンドラインパラメータの脆弱性により、認証されたローカルの攻撃者が root 権限でコマンドまたはバイナリを実行する可能性があります。
この脆弱性は、ヒープベースのバッファオーバーフローを引き起こす可能性のあるコマンドラインパラメータの不適切な解析が原因です。攻撃者は、該当デバイスの Unix シェルにアクセスし、巧妙に細工されたパラメータを使用して sudoedit コマンドを呼び出すか、バイナリエクスプロイトを実行することで、この脆弱性をエクスプロイトする可能性があります。エクスプロイトに成功すると、攻撃者は root 権限でコマンドを実行できる可能性があります。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sudo-privesc-jan2021-qnYQfcM
該当製品
シスコでは、この脆弱性の影響を受ける製品およびサービスを判断するために、製品ラインを調査しました。
「脆弱性が存在する製品」の項には、影響を受ける製品の Cisco Bug ID を示します。Cisco Bug は Cisco Bug Search Tool で検索可能であり、回避策（使用可能な場合）と修正されたソフトウェア リリースなど、プラットフォーム固有の追加情報が記載されます。
脆弱性のある製品
次の表に、本アドバイザリに記載された脆弱性の影響を受けるシスコ製品を示します。将来のソフトウェア リリース日が示されている場合、その日付はこのアドバイザリの上部にある最終更新日時点でシスコが把握しているすべての情報に基づいた日付になります。このソフトウェア リリースの日付は、試験結果や優先される機能や修正の提供等いくつかの理由により変更される場合があります。影響を受けるコンポーネントについてバージョン情報や日付がリストに記載されていない場合（空欄や暫定とされているもの）、シスコは修正の評価を続けており、追加情報が確認された時点でアドバイザリを更新します。アドバイザリが Final とマークされた後、より詳細な情報については関連する Cisco バグを参照して下さい。特に明記されていない限り、最初の修正済みリリースより前のすべてのソフトウェアリリースは、この脆弱性の影響を受けると考えられます。
| 製品 | Cisco Bug ID | Fixed Release Availability |
|---|---|---|
| ネットワーク管理とプロビジョニング | ||
| Cisco Elastic Services Controller（ESC） | CSCvx18712 | ESC-5.4.0.86（入手可能） |
| Cisco Prime Collaboration Provisioning | CSCvx18714 | 12.6.SU3（2021 年 4 月） |
| Cisco Prime サービス カタログ仮想アプライアンス | CSCvx18724 | 更新情報の誤りをご確認ください。 |
| Cisco Smart Net Total Care - On-Premises | CSCvx18702 | 2.1.0.1（2021 年 3 月） |
| Cisco Smart Software Manager オンプレミス | CSCvx22363 | 8-202102（2021 年 3 月） |
| Routing and Switching - Enterprise and Service Provider | ||
| Cisco Nexus 3000 Series Switches | CSCvx18710 | 7.0(3)I7(9)（使用可能）1 9.3.7（入手可能） 10.1.1（入手可能） |
| Cisco Nexus 7000 Series Switches | CSCvx18709 | 8.4.4（入手可能） |
| Cisco Nexus 9000 シリーズ スイッチ（スタンドアロン、NX-OS モード） | CSCvx18710 | 7.0(3)I7(9)（使用可能）1 9.3.7（入手可能） 10.1.1（入手可能） |
| Cisco Redundancy and Configuration Manager（4G/5G StarOS UserPlane 用） |
CSCvx19139 | 21.23.0（2021 年 3 月） 21.22.uax（2021 年 4 月） |
| Unified Computing | ||
| Cisco UCS Director | CSCvx18705 | 6.8（2021 年 3 月） |
| 音声およびユニファイド コミュニケーション デバイス | ||
| Cisco Paging Server（Informacast） | CSCvx18737 | 12.22.1（2021 年 3 月） 14.0.1（2021 年 3 月） |
| シスコ クラウド ホステッド サービス | ||
| Cisco Common Services Platform Collector | CSCvx20991 | 2.9.0.2（入手可能） 2.8 の更新情報の誤りをご確認ください。 |
| Cisco CX Cloud Agent ソフトウェア | CSCvx49685 | 1.3 (Available) |
| Cisco Ultra Cloud | CSCvx21182 | 2020.02.1.i33（2021 年 3 月） |
1.この脆弱性に完全に対処するために必要な追加の操作については、バグを参照してください。
脆弱性を含んでいないことが確認された製品
このアドバイザリの「脆弱性のある製品」セクションに記載されている製品およびサービスのみが、この脆弱性の影響を受けることが分かっています。
ユーザが双方向性端末にアクセスしたり、基盤となる Unix オペレーティングシステムまたはゲスト Unix オペレーティングシステムのコンテキストでカスタムバイナリを実行したりする機能がない製品は、この脆弱性をエクスプロイトするための攻撃ベクトルを提示しないため、 脆弱とは見なされません。
シスコは、この脆弱性が以下の製品およびサービスには影響を与えないことを確認しました。
Collaboration and Social Media
- Cisco Webex ミーティング サーバ
エンドポイント クライアントとクライアント ソフトウェア
- Cisco Jabber Guest
ネットワークおよびコンテンツ セキュリティ デバイス
- Cisco 適応型セキュリティ アプライアンス（ASA）ソフトウェア
- Cisco FXOS ソフトウェア
- Cisco Firepower Threat Defense（FTD）
- Cisco Identity Services Engine（ISE）
ネットワーク管理とプロビジョニング
- Cisco Application Policy Infrastructure Controller（APIC）
- Cisco Connected Mobile Experiences
- Cisco Data Center Network Manager（DCNM）
- Cisco Evolved Programmable Network Manager
- Cisco Policy Suite
- Cisco Prime Access Registrar
- Cisco Prime Infrastructure
- Cisco Network Configuration and Change Management
- Cisco Virtual Topology System（旧称 Cisco Virtual Systems Operations Center）（ VTSR VM）
- Cisco 仮想インフラストラクチャ マネージャ（VIM）
Routing and Switching - Enterprise and Service Provider
- Cisco 8000 シリーズ ルータ
- Cisco ASR 5000 シリーズ
- Cisco ASR 9000 アグリゲーション サービス ルータ シリーズ
- Cisco Carrier Routing System（CRS）
- Cisco Connected Grid ルータ
- Cisco DNA Center
- Cisco IOS XRv 9000 ルータ
- Cisco IOS および IOS XE ソフトウェア
- Cisco MDS 9000 Series Multilayer Switches
- Cisco Network Convergence System（NCS）540 シリーズ ルータ
- Cisco Network Convergence System（NCS）560 シリーズ ルータ
- Cisco Network Convergence System 1000（NCS）シリーズ
- Cisco Network Convergence System 4000（NCS）シリーズ
- Cisco Network Convergence System 5000（NCS）シリーズ
- Cisco Network Convergence System 5500（NCS）シリーズ
- Cisco Network Convergence System（NCS）6000 シリーズ ルータ
- Nexus 9000 シリーズ ファブリック スイッチ（アプリケーション セントリック インフラストラクチャ（ACI）モード）
- Cisco ONS 15454 Series Multiservice Provisioning Platforms
- Cisco SD-WAN vManage
- Cisco Stealthwatch エンドポイント コンセントレータ
- NetFlow 向け Cisco Stealthwatch フローコレクタ
- sFlow 向け Cisco Stealthwatch フローコレクタ
- Cisco Stealthwatch フローセンサー
- Cisco StealthWatch 管理コンソール
- Cisco Stealthwatch UDP Director
- Cisco 仮想パケットコア
Unified Computing
- Cisco Enterprise NFV Infrastructure Software（NFVIS）
音声およびユニファイド コミュニケーション デバイス
- Cisco ATA 190 アナログ電話アダプタ
- Cisco SPA112 2 ポート電話アダプタ
- Cisco SPA122 アナログ電話アダプタ（ATA）およびルータ
- Cisco SPA232D Multi-Line DECT アナログ電話アダプタ（ATA）
ビデオ、ストリーミング、テレプレゼンス、およびトランスコーディング デバイス
- Cisco Expressway Series
- Cisco TelePresence Video Communication Server（VCS）
- Cisco Video Surveillance Media Server
ワイヤレス
- Cisco Mobility Services Engine
シスコ クラウド ホステッド サービス
- Cisco Jasper Control Center
回避策
すべての回避策は、製品固有の Cisco Bug として文書化され、それぞれこのアドバイザリの「脆弱性のある製品」セクションで特定されます。
修正済みソフトウェア
修正済みソフトウェアリリースの詳細については、本アドバイザリの「脆弱性のある製品」セクションに記載されている Cisco Bug ID を参照してください。
ソフトウェアのアップグレードを検討する際には、シスコ セキュリティ アドバイザリ ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性とアップグレード ソリューション一式を確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。
出典
1 月 26 日に、Qualys の調査チームは公開アドバイザリで脆弱性を開示しました。
URL
改訂履歴
| バージョン | 説明 | セクション | ステータス | 日付 |
|---|---|---|---|---|
| 1.15 | 脆弱性のある製品のリストを更新。 | 脆弱性が存在する製品 | Final | 2021 年 3 月 16 日 |
| 1.14 | 脆弱性のある製品と脆弱性を含んでいないことが確認された製品のリストを更新。 | 「脆弱性のある製品」、「脆弱性を含んでいないことが確認された製品」 | Interim | 2021 年 3 月 11 日 |
| 1.13 | 脆弱性のある製品のリストを更新。 | 脆弱性が存在する製品 | Interim | 2021-MAR-02 |
| 1.12 | 脆弱性のある製品と脆弱性を含んでいないことが確認された製品のリストを更新。進行中の調査に対する参照を削除。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021-FEB-25 |
| 1.11 | 調査中の製品、脆弱性のある製品、脆弱性を含んでいないことが確認された製品のリストを更新。さらに調査した結果、シスコは、Cisco Application Policy Infrastructure Controller（APIC）がこの脆弱性の影響を受けないことを確認しました。以前のバージョンのアドバイザリでは、脆弱であると誤って記載されていました。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021-FEB-22 |
| 1.10 | 調査中の製品、脆弱性のある製品、脆弱性を含んでいないことが確認された製品のリストを更新。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021 年 2 月 19 日 |
| 1.9 | 調査中の製品、脆弱性のある製品、脆弱性を含んでいないことが確認された製品のリストを更新。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021 年 2 月 16 日 |
| 1.8 | 調査中の製品、脆弱性のある製品、脆弱性を含んでいないことが確認された製品のリストを更新。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021 年 2 月 11 日 |
| 1.7 | 調査中の製品、脆弱性のある製品、脆弱性を含んでいないことが確認された製品のリストを更新。シスコでは、Cisco Firepower Threat Defense（FTD）がこの脆弱性の影響を受けないことを確認しています。以前のバージョンのアドバイザリでは、脆弱であると誤って記載されていました。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021 年 2 月 10 日 |
| 1.6 | 調査中の製品および脆弱性が存在する製品のリストを更新。 | 「該当製品」、「脆弱性のある製品」 | Interim | 2021 年 2 月 8 日 |
| 1.5 | 調査中の製品、脆弱性のある製品、脆弱性を含んでいないことが確認された製品のリストを更新。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021 年 2 月 5 日 |
| 1.4 | 調査中の製品、脆弱性のある製品、脆弱性を含んでいないことが確認された製品のリストを更新。Cisco Virtual Topology System（旧Cisco Virtual Systems Operations Center） – VTSR VMは、このアドバイザリの以前のバージョンで脆弱性が存在すると誤ってリストされていました。シスコがこの製品がこの脆弱性の影響を受けないことが判明したため、この脆弱性は修正されました。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021 年 2 月 4 日 |
| 1.3 | 調査中の製品、脆弱性のある製品、脆弱性を含んでいないことが確認された製品のリストを更新。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021 年 2 月 3 日 |
| 1.2 | 調査中の製品、脆弱性のある製品、脆弱性を含んでいないことが確認された製品のリストを更新。Cisco FXOSソフトウェアがこのアドバイザリの以前のバージョンで誤って脆弱性としてリストされていましたが、シスコがこの製品がこの脆弱性の影響を受けないことが判明したため、修正済みです。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021 年 2 月 2 日 |
| 1.1 | 調査中の製品、脆弱性のある製品、脆弱性を含んでいないことが確認された製品のリストを更新。 | 該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品 | Interim | 2021 年 2 月 2 日 |
| 1.0 | 初回公開リリース | — | Interim | 2021 年 1 月 29 日 |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。