Cisco セキュリティ アドバイザリ：Cisco Video Surveillance IP ゲートウェイおよびサービス プラットフォームの認証の脆弱性

ダウンロード オプション

  • PDF     (341.7 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (87.1 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (75.1 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2007 年 9 月 5 日
Document ID:null-null

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

Critical

Critical

アドバイザリーID : cisco-sa-20070905-video
初公開日 : 2007-09-05 16:00
バージョン 1.0 : Final
CVSSスコア : 10.0
回避策 : No Workarounds available
Cisco バグ ID :
 

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Video Surveillance IP ゲートウェイ ビデオ エンコーダとデコーダ、Services Platform（SP; サービス プラットフォーム）、および Integrated Services Platform（ISP; 統合サービス プラットフォーム）の各デバイスには、ネットワーク接続を確立しているリモート ユーザが脆弱なデバイスに対する完全な管理制御を取得できるようになる、認証の脆弱性が含まれています。これらの脆弱性に対する回避策はありません。

Cisco では、該当するお客様用に、これらの脆弱性に対応する無償ソフトウェアを提供しております。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20070905-video で公開されています。

該当製品

脆弱性のある製品

脆弱性を含む製品は次のとおりです。

  • Cisco Video Surveillance IP ゲートウェイ エンコーダ/デコーダ（スタンドアロンおよびモジュール）ファームウェア バージョン 1.8.1 以前
  • Cisco Video Surveillance SP/ISP デコーダ ソフトウェア ファームウェア バージョン 1.11.0 以前
  • Cisco Video Surveillance SP/ISP ファームウェア バージョン 1.23.7 以前

配置されたビデオ サーベイランス デバイスにインストールされているファームウェアのバージョンを調べるには、Stream Manager 設定管理ツールを使用する必要があります。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

Cisco Video Surveillance IP ゲートウェイ ビデオ エンコーダおよびデコーダを使用すると、カメラのビデオ フィードを IP ネットワーク経由で送信できます。この機能によって、ユーザが既存のアナログ サーベイランス システムから変換するためのアップグレード パスが提供されます。Cisco Video Surveillance サービス プラットフォームおよび統合サービス プラットフォームは、IP ゲートウェイから受信したビデオ フィードを記録して集約します。格納されたビデオは、Cisco Video Surveillance Stream Manager ソフトウェアを使用して、表示および操作できます。

  • IP ゲートウェイ エンコーダ/デコーダの Telnet 認証の脆弱性：
    Cisco Video Surveillance IP ゲートウェイ ビデオ エンコーダおよびデコーダにインストールされた Telnet サーバは、認証を要求しません。このため、ネットワーク接続が確立されたリモート ユーザが、脆弱性のあるデバイス上で管理特権を使用して、インタラクティブなシェルへアクセスすることが可能になる場合があります。この問題は、Cisco Bug ID CSCsj31729(登録ユーザ専用)に記述されています。
  • サービス プラットフォーム/統合サービス プラットフォームのデフォルトの認証の脆弱性：
    Cisco Video Surveillance サービス プラットフォームおよび統合サービス プラットフォーム デバイスは、sypixx およびルート ユーザ アカウントのデフォルト パスワードとともに出荷されます。ユーザは、アプリケーション要件のために、これらのパスワードを変更できません。デフォルト パスワードの知識を持ったユーザは、脆弱性のあるデバイスへの管理特権を使用して、インタラクティブなシェルへのアクセスを取得できる場合があります。この問題は、Cisco Bug ID CSCsj34681(登録ユーザ専用)に記述されています。

回避策

これらの脆弱性に対する回避策はありません。

スクリーニング デバイス上で、該当するシステムへのトラフィックをフィルタリングする手段は、緩和テクニックとしてどちらの脆弱性にも使用できます。脆弱性のあるデバイス上の Telnet サービス（TCP ポート 23）へのアクセスは、承認された管理ワークステーションに制限される必要があります。

現在、IP ゲートウェイ エンコーダおよびデコーダ、またはサービス プラットフォームの各デバイス上で、フィルタリングを直接設定する方式はありません。

TCP ポート 23 へのアクセスをブロックするフィルタは、トランジット アクセス リストの一部としてネットワーク エッジに展開される必要があり、これによって Access Control List（ACL; アクセス コントロール リスト）が設定されているルータやその背後にある他のデバイスも保護されます。トランジット アクセス コントロール リストについての詳細は、次のリンクにある White Paper『トランジット アクセス コントロール リスト：エッジでのフィルタリング』を参照してください。

http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801afc76.shtml

Cisco 機器に適用可能な追加の軽減策については以下の "Cisco Applied Intelligence companion document" より入手可能です。

https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20070905-video

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

推奨事項

$propertyAndFields.get("recommendations")

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

これらの脆弱性は、Cisco 社内で発見されたものです。

URL

改訂履歴

リビジョン 1.0

2007 年 9 月 5 日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。