Cisco Unified Customer Voice Portalソフトウェアの複数の脆弱性

回避策は、Cisco Bug ID CSCub38366(登録ユーザ専用)に記載されているCisco Unified Customer Voice Portal(CVP)ソフトウェアのXMLエンティティ拡張の脆弱性で利用可能です。

Cisco Unified Customer Voice PortalソフトウェアのXMLエンティティ拡張の脆弱性の回避策を実装するには、Cisco Unified CVPデバイス間の通信がSSLを使用して保護されている必要があります。Cisco Unified CVPデバイス間の通信を保護する方法の詳細については、次の場所にある『Configuration and Administration Guide for Cisco Unified Customer Voice Portal』の「Unified CVP security」セクションを参照してください。

http://www.cisco.com/c/dam/en/us/td/docs/voice_ip_comm/cust_contact/contact_center/customer_voice_portal/cvp9_0/configuration/guide/cvp-configuration-and-administration-guide.pdf

各サーバのサービスを停止します。

「manager」および「host-manager」Webアプリケーションは、CVPサーバのTomcatインスタンスから手動で削除する必要があります。

CVP VXMLサーバ
C:\Cisco\CVP\VXMLServer\Tomcat\server\webappsフォルダに移動します。ManagerフォルダとHost-Managerフォルダを削除します。

CVP コール サーバ
C:\Cisco\CVP\CallServer\Tomcat\server\webappsフォルダに移動します。ManagerフォルダとHost-Managerフォルダを削除します。

CVPオペレーションコンソールサーバ
C:\Cisco\CVP\OPSConsoleServer\Tomcat\server\webappsフォルダに移動します。ManagerフォルダとHost-Managerフォルダを削除します。

CVP レポート サーバ

C:\Cisco\CVP\CallServer\Tomcat\server\webappsフォルダに移動します。ManagerフォルダとHost-Managerフォルダを削除します。

VXML Serverのサービスを停止します。

C:\Cisco\CVP\VXMLServer\Tomcat\confフォルダに移動し、server.xmlファイルを編集します。

autoDeployをfalseに変更します。先ほどそれは本当だった。

<Host appBase="webapps" autoDeploy="false"

サービスVXMLサーバを起動します。

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

これらの脆弱性は、Alex Senkevitch氏からシスコに報告されたものです。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。