日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120404-webex
該当製品
脆弱性のある製品
このアドバイザリで公開される脆弱性は、Cisco WebEx Recording Format(WRF)Playerに影響を与えます。次のCisco WebEx Business Suite(WBS 27)のクライアントビルドは、このアドバイザリに記載されている脆弱性のうち少なくとも1つの影響を受けます。
- クライアントビルド27.32.0(T27 LD SP32)以前
- クライアントビルド27.25.9(T27 LC SP25 EP9)以前
- クライアントビルド27.21.10(T27 LB SP21 EP10)以前
- クライアントビルド27.11.26(T27 L SP11 EP26)以前
注：自動ソフトウェアアップデートを受け取らないお客様は、ソフトウェアメンテナンスが終了したバージョンのCisco WebExを実行している可能性があります。
脆弱性を含んでいないことが確認された製品
WBS 28は、このアドバイザリに記載されている脆弱性の影響を受けません。
詳細
- CVE-2012-1335
- CVE-2012-1336
- CVE-2012-1337
回避策
修正済みソフトウェア
アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。
次に示すCisco WebEx Business Suite(WBS27)のクライアントビルドでは、このアドバイザリに記載された脆弱性が修正されています。
- クライアントビルド27.25.10(T27 LC SP25 EP10)
- クライアントビルド27.32.1(T27 LD SP32 CP1)
T27 SP25より前のクライアントビルドはサポートが終了しています。修正済みソフトウェアを入手するには、最新バージョンにアップグレードしてください。
WebExクライアントビルドを確認するには、Cisco WebEx会議サイトにログインして、Support > Downloadsセクションに移動します。WebExクライアントビルドのバージョンがページ右側に表示されます。Cisco WebEx ソフトウェア アップデートは、クライアント ビルドの累積更新プログラムです。たとえば、クライアントビルド27.25.10が修正されている場合、ビルド27.25.11にもソフトウェアアップデートが含まれます。
Microsoft Windows、Apple Mac OS X、およびLinuxバージョンのCisco WRFプレーヤーはすべて影響を受けます。プレーヤーが自動的にインストールされた場合、WebEx会議サイトでホストされている録画ファイルにユーザがアクセスすると、プレーヤーは脆弱でない最新バージョンに自動的にアップグレードされます。 Cisco WebEx録画プレーヤーを手動でインストールした場合は、http://www.webex.com/play-webex-recording.htmlから最新バージョンをダウンロードしてインストールする必要があります。プレーヤーを完全に削除するには、http://support.webex.com/support/downloads.htmlでMeeting Services Removal Tool(MSPT)またはMac Cisco-WebEx Uninstaller（Apple Macユーザ用）にアクセスします。
プレーヤーがこれらの脆弱性の影響を受けるかどうかを判断するには、インストールされているバージョンを手動で確認します。これを行うには、ユーザーはファイルのバージョンを調べて、修正されたコードが含まれているかどうかを判断できます。
Microsoft Windows
このアドバイザリで説明されている脆弱性に対処するために、Microsoft Windowsプラットフォームで1つのダイナミックリンクライブラリ(DLL)が更新されました。これらのファイルは、C:\Program Files\WebEx\Record PlaybackフォルダまたはC:\Program Files (x86)\Webex\Record Playerフォルダにあります。DLLのバージョン番号は、WindowsエクスプローラでRecord Playbackディレクトリを参照し、ファイル名を右クリックして[プロパティ]を選択すると取得できます。[プロパティ]ページの[バージョン]タブまたは[詳細]タブには、ライブラリのバージョンに関する詳細が表示されます。次の表に、DLL atas32.dllの最初の修正バージョンを示します。インストールされているバージョンが表に示されているバージョン以上の場合、システムには脆弱性が存在しません。
| クライアントビルド | Cisco WRF DLLファイル名 | DLLファイルのバージョン |
| 27.25.10 | ATAS32.DLL | 2.6.25.1 |
| 27.25.10 | ATDL2006.DLL | 1027.1125.1206.1310 |
| 27.32.1 | ATAS32.DLL | 2.6.32.2 |
アップルMac
このアドバイザリで説明されている脆弱性に対処するために、Apple Mac OSプラットフォームでは3つのパッケージバンドルが更新されています。このファイルは各ユーザのホームディレクトリにあり、～/Library/Application Support/WebEx Folder/924からアクセスできます。バージョンを確認するには、Finderで該当するフォルダを参照し、Ctrlキーを押しながらファイル名をクリックします。メニューが表示されたら、show package contentsを選択し、Info.plistファイルをダブルクリックします。表示されたテーブルの下部にバージョン番号が表示されます。次の表に、各パッケージバンドルの最初の修正バージョンを示します。インストールされているバージョンが表に示されているバージョン以上の場合、システムには脆弱性が存在しません。
|
クライアントビルド |
Cisco WRFバンドルファイル名 |
バンドルファイルバージョン |
| 27.25.10 | atas.bundle（atasバンドル） | 12.15.25.3 |
| 27.32.1 | atas.bundle（atasバンドル） | 12.13.32.0 |
| 27.32.1 | asplayback.bundleをダウンロード | 12.13.32.0 |
| 27.32.1 | as.bundle（バンドル） | 12.13.32.0 |
Linux
このアドバイザリで説明されている脆弱性に対処するために、Linuxプラットフォームで3つの共有オブジェクトが更新されました。これらのファイルは～/.webexディレクトリにあります。共有オブジェクトのバージョン番号は、lsコマンドでディレクトリリストを実行することで取得できます。バージョン番号は.so拡張子の後に示されます。次の表に、各共有オブジェクトの最初の修正バージョンを示します。インストールされているバージョンが表に示されているバージョン以上の場合、システムには脆弱性が存在しません。|
クライアントビルド |
Cisco WRF共有オブジェクトファイル名 |
共有オブジェクトファイルのバージョン |
| 27.32.1 | libnbrascli.so（登録ユーザ専用） | 1.29.27.23 |
| 27.32.1 | atjpeg.soファイル | 1.0.27.2 |
| 27.25.10 | atjpeg.soファイル | 1.0.27.2 |
推奨事項
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。
この脆弱性は、SecuniaおよびiDefenseからシスコに報告されました。
URL
改訂履歴
| リビジョン 1.1 | 2012年7月18日 | アドバイザリメタタグを更新。 |
| リビジョン 1.0 | 2012年4月4日 | 初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。