Cisco Security Response: Cisco TelePresence Video Communication Server Cross-Site Scripting Vulnerability

ダウンロード オプション

  • PDF     (151.4 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (44.3 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (63.3 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2011 年 10 月 12 日

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。


http://www.cisco.com/warp/public/707/cisco-sr-20111012-vcs.shtml

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

Revision 1.0

For Public Release 2011 October 12 1730 UTC (GMT)

目次

シスコの対応
追加情報
この通知のステータス：FINAL
更新履歴
シスコ セキュリティ手順

シスコの対応

Cisco TelePresence Video Communication Server（VCS）には、ユーザ制御によって Web ベースの管理インターフェイスに入力を行う際、その入力に対する不適切な検証に起因する脆弱性が存在します。ログイン ページに HTTP User-Agent ヘッダ経由で提供されるユーザ制御入力が、不正または悪意のあるコンテンツに対して適切にサニタイズされないまま、動的に生成される Web コンテンツによってユーザに返されます。攻撃者はリモートからこの脆弱性を不正利用して、反射型クロスサイト スクリプティング攻撃を実行できる可能性があります。

Zoompf, Inc. の Billy Hoffman 氏がこの脆弱性を発見し、Dell SecureWorks の Ben Feinstein 氏によりシスコに報告されました。シスコでは、研究者と協力してセキュリティ脆弱性に関する調査を進め、製品レポートで発表することを常に歓迎しています。

追加情報

Cisco TelePresence Video Communication Server ソフトウェアの X7.0 より前のバージョンが影響を受けます。この脆弱性は、Cisco TelePresence Video Communication Server ソフトウェア バージョン X7.0 ですでに修正されています。

この脆弱性は Cisco Bug ID CSCts80342 （ 登録ユーザのみ）として文書化され、CVE ID CVE-2011-3294 が割り当てられています。

ネットワーク内のシスコ デバイスに適用可能な他の緩和策については、『Cisco Applied Mitigation Bulletin: Understanding Cross-Site Scripting (XSS) Threat Vectors』にて参照できます。 http://www.cisco.com/warp/public/707/cisco-amb-20060922-understanding-xss.shtml

この通知のステータス：FINAL

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証を示唆するものでもありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。またシスコシステムズはいつでも本ドキュメントの変更や更新を実施する権利を有します。

後述する情報配信の URL を省略し、本アドバイザリの記述内容に関して単独の転載や意訳を実施した場合には、事実誤認ないし重要な情報の欠落を含む統制不可能な情報の伝搬が行われる可能性があります。

更新履歴

Revision 1.0

2011-October-12

Initial public release

シスコ セキュリティ手順

シスコ製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関する支援、およびシスコからセキュリティ情報を入手するための登録方法について詳しく知るには、シスコ ワールドワイド Web サイトの http://www.cisco.com/en/US/products/products_security_vulnerability_policy.html にアクセスしてください。このページには、シスコのセキュリティ通知に関してメディアが問い合わせる際の指示が掲載されています。すべてのシスコ セキュリティ アドバイザリは http://www.cisco.com/go/psirt/ で確認することができます。