High
High
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Jabber Extensible Communications Platform(Jabber XCP)およびCisco Unified Presenceには、サービス拒否(DoS)の脆弱性が存在します。認証されていないリモートの攻撃者は、悪意のあるXMLを該当サーバに送信することで、この脆弱性を不正利用する可能性があります。この脆弱性の不正利用に成功すると、メモリおよびCPU使用率が上昇し、メモリが枯渇してプロセスがクラッシュする可能性があります。この脆弱性が繰り返し悪用されると、DoS 状態が続く可能性があります。
この脆弱性の不正利用を軽減する回避策はありません。
このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110928-xcpcupsxml で公開されています。該当製品
脆弱性のある製品
次のバージョンのCisco Unified PresenceおよびJabber Extensible Communications Platform(Jabber XCP)は、このアドバイザリに記載されている脆弱性の影響を受けます。脆弱性のあるバージョンのJabber XCPソフトウェアを実行しているJabberNowアプライアンスも影響を受けます。
Cisco Unified Presence
8.5(4)より前のすべてのバージョンのCisco Unified Presenceは、このアドバイザリに記載されている脆弱性の影響を受けます。
Jabber XCPおよびJabberNowアプライアンス
次のJabber XCPソフトウェアバージョンは、このアドバイザリに記載されている脆弱性の影響を受けます。
|
バージョン |
ビルド |
|---|---|
|
2.X |
すべてのビルド |
|
3.X |
すべてのビルド |
|
4.X |
すべてのビルド |
|
5.0 |
すべてのビルド |
|
5.1 |
すべてのビルド |
|
5.2 |
すべてのビルド |
|
5.4 |
5.4.0.27581 よりも前 |
|
5.8 |
5.8.1.27561 よりも前 |
注：これらのソフトウェアバージョンを実行しているJabberNowアプライアンスも、このアドバイザリに記載されている脆弱性の影響を受けます。
Cisco Unified Presenceソフトウェアバージョンの確認
実行中のCisco Unified Presenceソフトウェアのバージョンを確認するには、コマンドラインインターフェイスからshow version activeコマンドを発行します。
次の例は、Cisco Unified Presenceソフトウェアバージョン8.6.0を示しています。
admin: show version active Active Master Version: 8.6.0.97041-43
Jabber XCPソフトウェアバージョンの確認
Jabber XCPソフトウェアの実行バージョンを確認するには、[JABBER_HOME]/var/cache/xcp_vars.shファイルでJABBER_VERSIONを探します。
次の例は、Jabber XCPソフトウェアバージョン5.8.1.17421を示しています。
JABBER_VERSION=5.8.1.17421
脆弱性を含んでいないことが確認された製品
詳細
Jabber XCPとCisco Unified Presenceは、オープンで拡張可能なプラットフォームを提供し、アベイラビリティおよびインスタントメッセージング(IM)情報の安全な交換を促進します。
Jabber XCP（JabberNowアプライアンスを含む）およびCisco Unified PresenceのXMLパーサーは、Exponential Entity Expansion攻撃に対して脆弱です。この攻撃は、XMLスキーマのルールに従って有効でありながら、パーサーまたは基盤となるサーバのハングまたはクラッシュを引き起こすXMLドキュメントを参照するXML Bombとしても知られています。この攻撃は、多くの概念実証例によってXMLパーサーが文字列lolまたはhaを10億回まで拡張したり、サーバリソースが使い果たされたりするため、Billion Laws Attackと呼ばれることがよくあります。
この攻撃では、XMLの特定のプロパティを組み合わせて、ネストされた置換を極端に使用して、有効でありながら悪意のあるXMLを作成します。XMLパーサーが入れ子になったすべてのエンティティを展開しようとすると、すべてのサーバーリソースがすぐに枯渇します。
この手法を使用すると、Cisco Unified PresenceおよびJabber XCP（JabberNowアプライアンスを含む）のXMLパーサーがCPUとメモリの高使用率をトリガーし、プロセスがクラッシュします。この攻撃は、クライアントとサーバ間の接続と、サーバとサーバ間（フェデレーション）のリンクの両方に影響を与えます。
この脆弱性は、次のCisco Bug IDに記述されています。
- CSCtq78106(登録ユーザのみ)
- CSCtq89842(登録ユーザのみ)
- CSCtq88547(登録ユーザのみ)
この脆弱性には、Cisco Bug ID CSCtq78106に対してはCommon Vulnerabilities and Exposures(CVE)ID CVE-2011-3287、Cisco Bug ID CSCtq89842とCSCtq88547に対してはCVE ID CVE-2011-3288が割り当てられています。
回避策
修正済みソフトウェア
アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。
|
Cisco Unified Presenceソフトウェアバージョン |
First Fixed Release（修正された最初のリリース） |
|---|---|
|
8.5(4)より前のすべてのバージョン |
バージョン 8.5(4) にアップグレード。 |
|
Jabber XCPソフトウェアバージョン（JabberNowアプライアンスを含む） |
First Fixed Release（修正された最初のリリース） |
|---|---|
|
4.Xより前のバージョン |
これらのバージョンには脆弱性がありますが、サポートは終了しています。修正済みソフトウェアは提供されません。シスコでは、これらのバージョンのいずれかを使用しているお客様に対し、サポートされているバージョンに移行することを強く推奨します。 |
|
バージョン4.X ～ 5.2 |
5.4.0.27581、5.8.1.27561以降に移行 |
|
バージョン 5.4 |
5.4.0.27581、5.8.1.27561以降にアップグレード |
|
バージョン 5.8 |
5.8.1.27561以降にアップグレードする |
推奨事項
不正利用事例と公式発表
URL
改訂履歴
| リビジョン 1.1 | 2012年7月18日 | アドバイザリメタタグを更新。 |
| リビジョン 1.0 | 2011年9月28日 | 初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。