Critical
Critical
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
CiscoWorks Common Servicesには、リモート攻撃者による任意のコードの実行を可能にする脆弱性が存在します。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20080528-cw で公開されています。
該当製品
脆弱性のある製品
CiscoWorks Common Servicesバージョン3.0.3、3.0.4、3.0.5、3.0.6、3.1、および3.1.1に脆弱性が存在します。CiscoWorks Common Servicesをベースとして使用する次のシスコ製品も、この脆弱性の影響を受けます。
|
製品 |
製品バージョン |
Common Servicesバージョン |
|---|---|---|
|
Cisco Unified Operations Manager（CUOM） |
1.1 |
3.0.3 |
|
Cisco Unified Operations Manager（CUOM） |
2.0 |
3.0.3 |
|
Cisco Unified Operations Manager（CUOM） |
2.0.1 |
3.0.5 |
|
Cisco Unified Operations Manager（CUOM） |
2.0.2 |
3.0.5 |
|
Cisco Unified Operations Manager（CUOM） |
2.0.3 |
3.0.5 |
|
Cisco Unified Service Monitor(CUSM) |
1.1 |
3.0.3 |
|
Cisco Unified Service Monitor(CUSM) |
2.0 |
3.0.4 |
|
Cisco Unified Service Monitor(CUSM) |
2.0.1 |
3.0.5 |
|
CiscoWorks QoS Policy Manager(QPM) |
4.0、4.0.1、および4.0.2 |
3.0.5 |
|
CiscoWorks LAN Management Solution（LMS） |
2.5、2.5.1、2.6 |
3.0.3 |
|
CiscoWorks LAN Management Solution（LMS） |
2.6更新 |
3.0.5 |
|
CiscoWorks LAN Management Solution（LMS） |
3.0 |
3.1 |
|
CiscoWorks LAN Management Solution（LMS） |
2007年12月3.0日更新 |
3.1.1 |
|
Cisco Security Manager(CSM) |
3.0 |
3.0.3 |
|
Cisco Security Manager(CSM) |
3.0.1 |
3.0.4 |
|
Cisco Security Manager(CSM) |
3.0.2 |
3.0.5 |
|
Cisco Security Manager(CSM) |
3.1および3.1.1 |
3.0.5 |
|
Cisco Security Manager(CSM) |
3.2 |
3.1 |
|
Cisco TelePresence Readiness Assessment Manager(CTRAM) |
1.0 |
3.0.5 |
注：CiscoWorks Voice Manager(CVM)およびCisco Unified Intelligent Contact Management(ICM)は、基盤となるCommon Servicesバージョンがアップグレードされた場合に脆弱になる可能性があります。
脆弱性を含んでいないことが確認された製品
CiscoWorks Common Servicesバージョン3.2以降またはCommon Management Framework(CMF)バージョン2.2を使用する製品には脆弱性はありません。
次のCiscoWorks製品も、この脆弱性の影響を受けません。
|
製品 |
製品バージョン |
Common Servicesバージョン |
|---|---|---|
|
CiscoWorks IP Communications Manager(IPCM) |
1.0 |
3.0 SP1 |
|
CiscoWorks IPコミュニケーションサービスモニタ |
1.0 |
3.0 SP1 |
注：CiscoWorks Voice Manager(CVM)およびCisco Unified Intelligent Contact Management(ICM)は、基盤となるCommon Servicesバージョンがアップグレードされた場合に脆弱になる可能性があります。
他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。
詳細
CiscoWorks Common Servicesは、CiscoWorksアプリケーションによって共有される共通の管理サービスセットです。CiscoWorksは、ネットワークとデバイスを管理するためのインターネット標準に基づく製品ファミリです。CiscoWorks製品の多くはCommon Servicesを使用し、これに依存しています。
CiscoWorks Common Servicesには、リモート攻撃者による任意のコードの実行を可能にする脆弱性が存在します。この脆弱性は、Cisco Bug ID CSCsm77245(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2008-2054が割り当てられています。
回避策
トランジットACL(tACL)などのフィルタを使用すると、信頼できるホストからのみ管理ワークステーションにアクセスできます。
TCPポート443およびTCPポート1741を使用するHTTPSパケットを使用するHTTPパケットを拒否するフィルタは、入力アクセスポイントからネットワークに入るトラフィックからネットワークを保護するために、tACLポリシーの一部としてネットワーク全体に展開する必要があります。このポリシーは、フィルタが適用されているネットワークデバイスとその背後にある他のデバイスを保護するように設定する必要があります。TCPポート443およびTCPポート1741を使用するHTTPSパケットのフィルタは、信頼できるクライアントからのトラフィックだけが許可されるように、脆弱なネットワークデバイスの前にも展開する必要があります。
注：tACLについての詳細は、『トランジットアクセスコントロールリスト：エッジでのフィルタリング』(http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801afc76.shtml)を参照してください。
XSS攻撃と、これらの脆弱性を悪用するために使用される方法の詳細については、次のURLにあるCisco Applied Intelligence Response『Understanding Cross-Site Scripting(XSS)Threat Vectors』を参照してください。
修正済みソフトウェア
シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。ソフトウェアを配備する前に、メンテナンス プロバイダーと相談するか、機能セットの互換性や環境固有の既知の問題などがないかどうかを確認することを推奨いたします。
この脆弱性は、CiscoWorks Common Servicesバージョン3.2および次のソフトウェアパッチで修正されています。
cwcs3.x-sol-CSCsm77245-0.tar.gz:Solarisバージョン用
cwcs3.x-win-CSCsm77245-0.zip:Windowsバージョン用
CiscoWorks Common Servicesのパッチは、次のサイトからダウンロードできます。
http://www.cisco.com/pcgi-bin/tablebuild.pl/cw2000-cd-one
アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。
推奨事項
不正利用事例と公式発表
Cisco PSIRTチームでは、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。
この脆弱性は、Liquidmatrix.orgのDave Lewis氏によってシスコに報告されました
Cisco PSIRTは、研究者と協力してセキュリティの脆弱性に関する調査を行う機会を非常に高く評価しており、製品レポートのレビューと支援を行う機会を歓迎しています。
URL
改訂履歴
|
リビジョン 1.0 |
2008年5月28日 |
初版リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。