Critical
Critical
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。
この脆弱性に対する回避策はありません。
このアドバイザリは次のリンクで確認できます。https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130417-nac
該当製品
脆弱性のある製品
次のバージョンより前のCisco NAC Managerは、この脆弱性の影響を受けます。
- 4.9.2
- 4.8.3.1
NAC Managerシステムのソフトウェアバージョンを確認するには、Administration > CCA Manager > Software Uploadの順に選択します | 現在のバージョン（管理インターフェイス経由）。
コマンドラインインターフェイス(CLI)でcat /perfigo/buildコマンドを実行して、ソフトウェアバージョンを確認することもできます。
次の例は、該当するバージョン(4.9.1)のソフトウェアを実行しているシステムを示しています。
[root@nacmanager ~]# cat /perfigo/build
VERSION=4.9.1
NAME=Clean Access Manager.
注： Cisco NAC Managerは、Cisco NACアプライアンス（旧Cisco Clean Access）の一部です。ソフトウェアバージョン4.1.3以降では、Cisco Network Admission Control(NAC)という名前を使用しています。
脆弱性を含んでいないことが確認された製品
Cisco NAC Managerを除き、この脆弱性の影響を受けるシスコ製品は確認されていません。
詳細
Cisco NACアプライアンスソリューションを使用すると、ネットワーク管理者は、有線、ワイヤレス、およびリモートのユーザとそのマシンに対して、ユーザのネットワークへの接続を許可する前に、認証、許可、評価、および修正を行うことができます。このソリューションは、マシンがセキュリティポリシーに準拠しているかどうかを確認し、ネットワークへのアクセスを許可する前に脆弱性を修正します。
Cisco NAC Managerには、認証されていないリモートの攻撃者が任意のコードを実行し、脆弱なシステムを完全に制御できる可能性のある脆弱性が存在します。
この脆弱性は、Cisco NAC Managerによるユーザ指定の要求の検証が不適切であることに起因します。攻撃者は、Structured Query Language(SQL)コマンドをインジェクトすることで、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者は任意のクエリを実行し、影響を受けるシステムを完全に制御できる可能性があります。
この脆弱性は、CSCub23095(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2013-1177が割り当てられています。
回避策
このドキュメントで説明されている脆弱性に対する回避策はありません。
修正済みソフトウェア
ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。
この脆弱性は、NAC Managerバージョン4.9.2、4.8.3.1以降で修正されています。
Cisco NAC Managerは、次のリンク先からダウンロードできます。
http://software.cisco.com/download/navigator.html?mdfid=279515766&i=rm
推奨事項
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。
この脆弱性はNenad Stojanovski氏によって発見され、ZDIによってシスコに報告されました。
URL
改訂履歴
| リビジョン 1.0 | 2013年4月17日 | 初版リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。