Cisco WebEx Recording Format Playerの複数の脆弱性

ダウンロード オプション

  • PDF     (371.9 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (85.0 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (76.6 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2012 年 10 月 10 日
Document ID:SA213083

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

Critical

Critical

アドバイザリーID : cisco-sa-20121010-webex
初公開日 : 2012-10-10 16:00
バージョン 1.0 : Final
CVSSスコア : 9.3
回避策 : No Workarounds available
 

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco WebEx Recording Format(WRF)Playerには、バッファオーバーフローを引き起こす脆弱性が6つ存在します。場合によっては、脆弱性の不正利用により、リモート攻撃者がターゲットユーザの特権でシステム上の任意のコードを実行する可能性があります。 

Cisco WebEx WRF Playerは、WebEx会議サイトまたはオンライン会議出席者のコンピュータに記録されたWRF WebEx会議の記録を再生するためのアプリケーションです。Cisco WebEx WRF Playerは、ユーザがWebEx会議サイトでホストされている録画ファイルにアクセスすると自動的にインストールされます。Cisco WebEx WRF Playerは、http://www.webex.com/play-webex-recording.htmlからアプリケーションをダウンロードした後、オフラインで再生できるように手動でインストールすることもできます。

Cisco WebEx WRF Playerが自動的にインストールされている場合、WebExミーティングサイトでホストされている録画ファイルにユーザがアクセスすると、脆弱性のない最新バージョンに自動的にアップグレードされます。Cisco WebEx WRF Playerが手動でインストールされている場合、最新バージョンをhttp://www.webex.com/play-webex-recording.htmlからダウンロードした後、新しいバージョンのCisco WebEx WRF Playerを手動でインストールする必要があります。

シスコでは、これらの脆弱性に対応するため、該当するバージョンのWebEx会議サイトとCisco WebEx WRF Playerをアップデートしました。 

このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20121010-webex

該当製品


脆弱性のある製品

このアドバイザリで公開される脆弱性は、Cisco WebEx WRF Playerに影響を与えます。Cisco WebEx Business Suite（WBS 27およびWBS 28）の次のクライアントビルドは、このアドバイザリに記載されている脆弱性のうち少なくとも1つの影響を受けます。
  • T28.4(28.4)より前のT28クライアントビルド
  • T27LDSP32EP10(27.32.10)より前のT27クライアントビルド
WebExクライアントビルドを確認するには、Cisco WebExミーティングサイトにログインし、ページ左側のリンクからSupport > Downloadsセクションに移動します。WebExクライアントビルドのバージョンがページ右側に表示されます。Cisco WebEx ソフトウェア アップデートは、クライアント ビルドの累積更新プログラムです。たとえば、クライアントビルド27.32.10が修正されている場合、ビルド27.32.11にもソフトウェアアップデートが含まれます。Cisco WebExサイト管理者は、T27 SP32 EP10などのセカンダリバージョンの名称にアクセスできます。このような例は、サーバがクライアントビルド27.32.10を実行していることを示しています。

注：自動ソフトウェアアップデートを受け取らないお客様は、ソフトウェアメンテナンスが終了したバージョンのCisco WebExを実行している可能性があるため、カスタマーサポートにお問い合わせください。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

WebEx会議サービスは、Cisco WebExによって管理および維持されるホステッドマルチメディア会議ソリューションです。WRFファイル形式は、WebEx会議サイトまたはオンライン会議出席者のコンピュータに記録されたWebEx会議の録画を保存するために使用されます。Cisco WebEx WRF Playerは、.wrf拡張子を使用するWebEx WRF録画ファイルを再生および編集するためのアプリケーションです。Cisco WebEx WRF Playerは、WebEx会議サイトでホストされている録画ファイルにアクセスすると自動的にインストールされます（ストリーム再生モード用）。 Cisco WebEx WRF Playerは、http://www.webex.com/play-webex-recording.htmlからアプリケーションをダウンロードして手動でインストールし、ローカルでレコーディングファイルを再生することもできます（オフライン再生時）。

次の表に、本アドバイザリに記載の脆弱性に割り当てられた Cisco Bug ID および Common Vulnerabilities and Exposures（CVE）ID を示します。

タイトル
 CVE ID
 Cisco Bug ID
Cisco WebEx Recording Format Playerのバッファオーバーフローの脆弱性 CVE-2012-3936
 0.CSCua40962
Cisco WebEx Recording Format Playerのバッファオーバーフローの脆弱性 CVE-2012-3937
 0.CSCtz72967
Cisco WebEx Recording Format Playerのバッファオーバーフローの脆弱性 CVE-2012-3938
 0.CSCtz73583
Cisco WebEx WRFプレーヤーのメモリ破損の脆弱性 CVE-2012-3939
 0.CSCua61331
Cisco WebEx Recording Format Playerのバッファオーバーフローの脆弱性 CVE-2012-3940
 0.CSCtz72958
Cisco WebEx Recording Format Playerのヒープオーバーフローの脆弱性
 CVE-2012-3941
 0.CSCtz72850

この脆弱性が不正利用されると、Cisco WebEx WRF Playerアプリケーションがクラッシュしたり、場合によってはリモートコードが実行されたりする可能性があります。

これらの脆弱性を不正利用するには、Cisco WebEx WRF Playerアプリケーションで悪意のあるWRFファイルを開く必要があります。攻撃者は、悪意のある録画ファイルをユーザに直接提供する（たとえば、電子メールを使用する）か、悪意のあるWebページにユーザを誘導することで、この不正利用を達成できる可能性があります。WebEx会議に参加しているユーザは、この脆弱性を引き起こすことはできません。

回避策

このアドバイザリに記載された脆弱性に対する回避策はありませんが、http://support.webex.com/support/downloads.htmlで入手可能なMeeting Services Removal Tool（Microsoft Windowsユーザ用）またはMac Cisco-WebEx Uninstaller（Apple Macユーザ用）を使用して、システムからすべてのWebExソフトウェアを完全に削除することができます。LinuxまたはUNIXベースのシステムからのWebExソフトウェアの削除は、WebExナレッジベースのヘルプ記事https://support.webex.com/MyAccountWeb/knowledgeBase.do?root=Tools&parent=Knowledge&articleId=WBX28548&txtSearchQuery=uninstall%20linux#の手順に従って実行できます。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center(TAC)または契約メンテナンスプロバイダーにお問い合わせください。

次に示すCisco WebEx Business Suite（WBS 27およびWBS 28）のクライアントビルドでは、このアドバイザリに記載された脆弱性が修正されています。

  • クライアントビルド28.4(T28.4)
  • クライアントビルド27.32.10(T27LDSP32EP10)

T27 SP32より前のクライアントビルドはサポートが終了しています。修正済みソフトウェアを入手するには、最新バージョンにアップグレードしてください。

WebExクライアントビルドを確認するには、Cisco WebExミーティングサイトにログインし、ページ左側のリンクからSupport > Downloadsセクションに移動します。WebExクライアントビルドのバージョンがページ右側に表示されます。Cisco WebEx ソフトウェア アップデートは、クライアント ビルドの累積更新プログラムです。たとえば、クライアントビルド27.32.10が修正されている場合、ビルド27.32.11にもソフトウェアアップデートが含まれます。

Microsoft Windows、Apple Mac OS X、およびLinuxバージョンのCisco WebEx WRF Playerはすべて影響を受けます。Cisco WebEx WRF Playerが自動的にインストールされている場合、WebExミーティングサイトでホストされている録画ファイルにユーザがアクセスすると、脆弱性のない最新バージョンに自動的にアップグレードされます。Cisco WebEx WRF Playerを手動でインストールした場合は、http://www.webex.com/play-webex-recording.htmlから最新バージョンをダウンロードしてインストールする必要があります。 

Cisco WebEx WRF Playerがこれらの脆弱性の影響を受けるかどうかを判断するには、インストールされているバージョンを手動で確認します。これを行うには、ユーザーはファイルのバージョンを調べて、修正されたコードが含まれているかどうかを判断できます。

Microsoft Windows

このアドバイザリで説明されている脆弱性に対処するために、Microsoft Windowsプラットフォームでは5つのダイナミックリンクライブラリ(DLL)が更新されています。これらのファイルは、C:\Program Files\WebEx\Record PlaybackフォルダまたはC:\Program Files (x86)\Webex\Record Playerフォルダにあります。DLLのバージョン番号は、WindowsエクスプローラでRecord Playbackディレクトリを参照し、ファイル名を右クリックして、Propertiesを選択することで取得できます。[プロパティ]ページの[バージョン]タブまたは[詳細]タブには、ライブラリのバージョンに関する詳細が表示されます。次の表に、各DLLの最初の修正バージョンを示します。インストールされているバージョンが表に示されているバージョン以上の場合、システムには脆弱性が存在しません。

クライアントビルド Cisco DLLファイル名 DLLファイルのバージョン
28.4 ATAS32.DLL
 28,400,12,629
28.4 atas32_lite.dll
 28,400,112,629
28.4 atrecpy.dll（読み取り専用）
 2028,1204,600,700
28.4 atrpui.dll
 2028,1204,700,1300
28.4 atdl2006
 1028,1204,500,2400
27.32.10 ATAS32.DLL
 2,6,32,4
27.32.10
 atas32_lite.dll
 2,6,32,104
27.32.10
 atrecpy.dll（読み取り専用）
 2027,1232,610,2600
27.32.10
 atrpui.dll
 2027,1232 610,2600
27.32.10
 atdl2006
 1027,1232,710,1200

アップルMac

Apple Mac OSプラットフォームでは、このアドバイザリで説明されている脆弱性に対処するために、4つのパッケージバンドルが更新されています。このファイルは各ユーザのホームディレクトリにあり、～/Library/Application Support/WebEx Folder/924からアクセスできます。バージョンを確認するには、Finderで該当するフォルダを参照し、Ctrlキーを押しながらファイル名をクリックします。メニューが表示されたら、show package contentsを選択し、Info.plistファイルをダブルクリックします。表示されたテーブルの下部にバージョン番号が表示されます。次の表に、各パッケージバンドルの最初の修正バージョンを示します。インストールされているバージョンが表に示されているバージョン以上の場合、システムには脆弱性が存在しません。

クライアントビルド Ciscoバンドルファイル名 バンドルファイルバージョン
28.4 atas.bundle（atasバンドル）
 1207,25,2804,0
28.4
asplayback.bundleをダウンロード
 1206,26,2804,0
28.4
as.bundle（バンドル）
 1206,29,2804,0
28.4 WebExプレーヤー.app 1206,20,2804,0
27.32.10 atas.bundle（atasバンドル）
 1206.28.2732.10
27.32.10 asplayback.bundleをダウンロード  1206.28.2732.10
27.32.10 as.bundle（バンドル）
 1206.28.2732.10 
27.32.10 WebExプレーヤー.app
 1206.28.2732.10

Linux

このアドバイザリで説明されている脆弱性に対処するために、Linuxプラットフォームで3つの共有オブジェクトが更新されました。これらのファイルは～/.webexディレクトリにあります。共有オブジェクトのバージョン番号は、lsコマンドでディレクトリリストを実行することで取得できます。バージョン番号は.so拡張子の後に示されます。次の表に、各共有オブジェクトの最初の修正バージョンを示します。インストールされているバージョンが表に示されているバージョン以上の場合、システムには脆弱性が存在しません。

クライアントビルド Cisco共有オブジェクトファイル名 共有オブジェクトファイルのバージョン
28.4 atascli.so（ダウンロード）
 1,0,28,18
28.4 libnbrascli.so（登録ユーザ専用）
 1.0.28.17
28.4 atascli.so（ミーティングクライアントで使用）
 922800025
27.32.10 atascli.so（ダウンロード）
 1.29.27.27
27.32.10 libnbrascli.so（登録ユーザ専用）
 1.29.27.22
27.32.10 atascli.so（ミーティングクライアントで使用）
 922729007

推奨事項

$propertyAndFields.get("recommendations")

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例とその公表は確認しておりません。

これらの脆弱性は、Beyond Security、Core Security、Codenomicon、およびTELUSからシスコに報告されたものです。

URL

改訂履歴

リビジョン 1.0 2012年10月10日 初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。