Cisco Security Response Multiple Vulnerabilities in Cisco Unified Videoconferencing Products

ダウンロード オプション

  • PDF     (189.4 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (47.5 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (72.3 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2010 年 11 月 18 日

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

http://www.cisco.com/warp/public/707/cisco-sr-20101117-cuvc.shtml

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

Revision 1.0

For Public Release 2010 November 17 1600 UTC (GMT)

目次

シスコの対応
追加情報
この通知のステータス：INTERIM
更新履歴
シスコ セキュリティ手順

シスコの対応

これは Cisco Product Security Incident Response Team（PSIRT）による、 Cisco Unified Videoconferencing（Cisco UVC）5100 シリーズ製品に関する投稿「Cisco Unified Videoconferencing の複数の脆弱性」（Matta Consulting の Florent Daigniere 氏）への対応です。このほか、いくつかの脆弱性は Cisco Unified Videoconferencing 5200 および 3500 シリーズ製品にも影響を与えます。

投稿された原文は、次のリンク先で参照できます。 http://seclists.org/fulldisclosure/2010/Nov/167 leavingcisco.com および http://www.trustmatta.com/advisories/MATTA-2010-001.txt leavingcisco.com

これらの脆弱性について報告いただいた Matta Consulting の Florent Daigniere 氏に感謝いたします。シスコでは、研究者と協力してセキュリティ脆弱性に関する調査を進め、製品レポートで発表することを常に歓迎しています。

追加情報

これら脆弱性は次の Cisco UVC Linux オペレーティング システム製品に影響を与えます。

  • Cisco Unified Videoconferencing 5110 システム
  • Cisco Unified Videoconferencing 5115 システム

次の Cisco UVC VxWorks オペレーティング システム製品は、これら脆弱性のサブセットによる影響を受けます。「報告された脆弱性の詳細」の項には、Linux オペレーティング システムをベースとした製品、VxWorks オペレーティング システムをベースとした製品、または両方の製品が個々の脆弱性の影響を受けるかどうかについて記載されています。

  • Cisco Unified Videoconferencing 5230 システム
  • Cisco Unified Videoconferencing 3545 システム
  • Cisco Unified Videoconferencing 3527 Primary Rate Interface（PRI）ゲートウェイ
  • Cisco Unified Videoconferencing 3522 Basic Rate Interfaces（BRI）ゲートウェイ
  • Cisco Unified Videoconferencing 3515 Multipoint Control Unit（MCU）

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

修正を含む最初のバージョンより前のシステム ソフトウェアの全バージョンは影響を受けます。該当バージョンは、「ソフトウェア バージョンおよび修正の表」に記載されています。

現在 Cisco Unified Videoconferencing 5100 シリーズ製品で実行されているシステム ソフトウェアのバージョンを確認するには、Web GUI インターフェイスから Cisco UVC デバイスにアクセスします。ステータス画面の [Product Information] セクションの下にある [Software Version] に現在のシステム ソフトウェアが表示されます。

報告された脆弱性の詳細

Cisco UVC 製品のハードコードされたクレデンシャル

Linux シェルには、3 つのハードコードされたユーザ名とパスワードが含まれています。パスワードは変更できず、アカウントは削除できません。攻撃者はこうしたアカウントを利用して、許可されたリモート アクセス プロトコルを使ってデバイスにリモート アクセスできる可能性があります。

この脆弱性は、Linux ベースのオペレーティング システム搭載の Cisco UVC 製品にのみ影響を与えます。

この脆弱性は Cisco Bug ID CSCti54008 （ 登録ユーザのみ）として文書化され、CVE ID CVE-2010-3038 が割り当てられています。

Cisco UVC 製品における Web インターフェイスへのリモート コマンド インジェクション

Cisco UVC 製品の Web サーバ インターフェイスにおけるいくつかのフィールドに、シェル コマンド インジェクションの脆弱性が存在します。Cisco UVC 製品の Web インターフェイスで認証されている管理者ユーザは、この脆弱性を不正利用して Linux オペレーティング システム上でルート レベルのコマンドを実行できる可能性があります。この脆弱性を不正利用した場合、デバイスを完全に改ざんできるようになります。

この脆弱性は、Linux ベースのオペレーティング システム搭載の Cisco UVC 製品に影響を与えます。このほか、VxWorks ベースの Cisco UVC 製品にも影響を与えます。

この脆弱性は Cisco Bug ID CSCti54059 （ 登録ユーザのみ）として文書化され、CVE ID CVE-2010-3037 が割り当てられています。

Cisco UVC 製品のクレデンシャルの難読化に対する脆弱性

Linux オペレーティング システムへのアクセスを取得できる攻撃者は、Cisco UVC Web GUI の管理者アカウントおよびオペレータ アカウントの格納に使用するファイルを取得できる可能性があります。ファイル内のパスワードは、簡単に元へ戻せるハッシング スキームを使って難読化されています。パスワードの回復を支援する悪用コードが存在します。

この脆弱性は、Linux ベースのオペレーティング システム搭載の Cisco UVC 製品にのみ影響を与えます。

この脆弱性は Cisco Bug ID CSCti54010 （ 登録ユーザのみ）として文書化され、CVE ID は割り当てられていません。

Cisco UVC 製品（デフォルト時）の FTP サーバへのアクセスの可能性

Cisco UVC システムのデフォルトでは、FTP サーバへのアクセスが有効になっています。攻撃者は、この Cisco Security Response にあるその他の脆弱性を悪用して FTP サーバを利用できる可能性があります。FTP サーバ経由でデバイスにログインするには、認証が必要です。

デバイスへの FTP アクセスは、Cisco UVC 製品の Web GUI にある [Security mode] フィールドから制御できます。[Security] 設定が High または Maximum に設定されている場合、デバイスは FTP 接続を受け付けません。詳細については、次のリンク先にある「Configuration Guide for Cisco Unified Videoconferencing 5000 MCU Release 7.0」を参照してください。 http://www.cisco.com/en/US/docs/video/cuvc/7_0/configuration_guide/setup.html#wp1690479

このサービスの不適切な構成によって影響があるのは、Linux ベースのオペレーティング システム搭載の Cisco UVC 製品と VxWorks ベースの Cisco UVC 製品です。

この脆弱性は Cisco Bug ID CSCti72032 （ 登録ユーザのみ）として文書化され、CVE ID は割り当てられていません。

シャドウ パスワード ファイルにおける Cisco UVC 製品の全ユーザに対する読み取り権限

シャドウ パスワード ファイルの読み取り権限は、ルート アカウントにのみ付与されるものです。シャドウ パスワード ファイルへの読み取りアクセスが可能な場合、シェルにアクセスできるシステム上のその他のユーザによってシャドウ パスワード ファイルが取得される可能性があります。Linux オペレーティング システムのディレクトリへのアクセスを認証されたユーザは、シャドウ パスワード ファイルを取得できる可能性があります。

このサービスの不適切な構成によって影響があるのは、Linux ベースのオペレーティング システム搭載の Cisco UVC 製品のみです。

この脆弱性は Cisco Bug ID CSCti54043 （ 登録ユーザのみ）として文書化され、CVE ID は割り当てられていません。

Cisco UVC 製品における OpenSSH 構成のロックダウン

SSH サーバには制限付きシェルがありますが、SSH サーバの構成によっては X.11 フォワーディングを許可し、SOCKS プロキシを作成することができます。

このサービスの不適切な構成によって影響があるのは、Linux ベースのオペレーティング システム搭載の Cisco UVC 製品です。

この脆弱性は Cisco Bug ID CSCti54045 （ 登録ユーザのみ）として文書化され、CVE ID は割り当てられていません。

Cisco UVC 製品のルートとして Web インターフェイスのポートをバインドするデーモン

攻撃者が root 権限で実行されるスクリプトの不具合を不正利用した場合、攻撃者はファイルへの書き込みアクセス、システムへのアクセス、または Denial of Service（DoS; サービス拒否）の実行が可能となります。

このサービスの不適切な構成によって影響があるのは、Linux ベースのオペレーティング システム搭載の Cisco UVC 製品です。

この脆弱性は Cisco Bug ID CSCti54047 （ 登録ユーザのみ）として文書化され、CVE ID は割り当てられていません。

Cisco UVC 製品の Web インターフェイスにおけるセッション ID の脆弱性

Cisco UVC の Web インターフェイスは、タイム カウンタを基に増分するセッション ID を持っています。予測可能なセッション ID の場合、ユーザのセッションが乗っ取られる場合があります。

このサービスの不適切な構成によって影響があるのは、Liinux ベースのオペレーティング システム搭載の Cisco UVC 製品と VxWorks ベースの Cisco UVC 製品の両方です。

この脆弱性は Cisco Bug ID CSCti54048 （ 登録ユーザのみ）として文書化され、CVE ID は割り当てられていません。

Cisco UVC 製品にクレデンシャルを格納するクッキーの利用

Linux ベースの Cisco UVC 製品において、Web インターフェイスのクレデンシャルはブラウザに送信されるクッキー内に Base64 形式で格納されます。VxWorks ベースの Cisco UVC 製品では、Web インターフェイスのクレデンシャルは Base64 形式またはクリア テキストで格納されます。

このサービスの不適切な構成によって影響があるのは、Liinux ベースのオペレーティング システム搭載の Cisco UVC 製品と VxWorks ベースの Cisco UVC 製品の両方です。

この脆弱性は Cisco Bug ID CSCti54052 （ 登録ユーザのみ）として文書化され、CVE ID は割り当てられていません。

ソフトウェア バージョン及び修正

アップグレードを検討する場合は、http://www.cisco.com/go/psirt/ と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報が不明確な場合は、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

次の表にある、最初に修正されたソフトウェア リリースより前の Cisco UVC のソフトウェア バージョンはすべて、関連する脆弱性の影響を受けます。

修正済みソフトウェアが入手可能になり次第、このソフトウェアの表は更新されます。

Linux Cisco UVC Operating System Versions

Product:

First Fixed Release

Cisco Unified Videoconferencing 5110 and 5115 Systems

Currently no fixed code available.Contact your support organization.

VxWorks Cisco UVC Operating System Versions

Product:

First Fixed Release

Cisco Unified Videoconferencing 5230 System:

Currently no fixed code available.Contact your support organization.

Cisco Unified Videoconferencing 3545 System:

Currently no fixed code available.Contact your support organization.

Cisco Unified Videoconferencing 3515 MCU:

Currently no fixed code available.Contact your support organization.

Cisco Unified Videoconferencing 3522 BRI Gateway:

Currently no fixed code available.Contact your support organization.

Cisco Unified Videoconferencing 3527 PRI Gateway:

Currently no fixed code available.Contact your support organization.

回避策

この Cisco Security Response に記載された脆弱性に対する回避策はありません。

管理者は、Cisco UVC Web GUI の [Security] セクションにある [Security mode] フィールドを [Maximum] に設定し、FTP、SSH、および Telnet サービスを無効化して Cisco UVC Web サーバへのアクセスを信頼できるホストのみに制限することで、これら脆弱性の影響を緩和できます。詳細については、次のリンク先にある「Configuration Guide for Cisco Unified Videoconferencing 5000 MCU Release 7.0」を参照してください。 http://www.cisco.com/en/US/docs/video/cuvc/7_0/configuration_guide/setup.html#wp1690479

この通知のステータス：INTERIM

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証を示唆するものでもありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。またシスコシステムズはいつでも本ドキュメントの変更や更新を実施する権利を有します。新しい情報が入り次第、このドキュメントは更新される予定です。

後述する情報配信の URL を省略し、本アドバイザリの記述内容に関して単独の転載や意訳を実施した場合には、事実誤認ないし重要な情報の欠落を含む統制不可能な情報の伝搬が行われる可能性があります。

更新履歴

Revision 1.0

2010-November-17

Initial public release.

シスコ セキュリティ手順

シスコ製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関する支援、およびシスコからセキュリティ情報を入手するための登録方法について詳しく知るには、シスコ ワールドワイド Web サイトの http://www.cisco.com/en/US/products/products_security_vulnerability_policy.html にアクセスしてください。このページには、シスコのセキュリティ通知に関してメディアが問い合わせる際の指示が掲載されています。すべてのシスコ セキュリティ アドバイザリは http://www.cisco.com/go/psirt/ で確認することができます。