Cisco Security Advisory: Cisco TelePresence Recording Server Default Credentials for Root Account Vulnerability

2011 年 7 月 31 日 - ライター翻訳版
その他のバージョン: PDFpdf | 英語版 (2011 年 7 月 29 日) | フィードバック


Advisory ID: cisco-sa-20110729-tp

http://www.cisco.com/warp/public/707/cisco-sa-20110729-tp.shtml

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

Revision 1.0

For Public Release 2011 July 29 1600 UTC (GMT)


要約

Cisco TelePresence Recording Server ソフトウェア リリース 1.7.2.0 には、デフォルトで有効にされた root 管理者アカウントが含まれます。この脆弱性の不正利用に成功した場合、リモートの攻撃者がこれらデフォルトのクレデンシャルを使用してシステム構成と設定を変更することが可能になります。

この脆弱性を軽減する回避策があります。

シスコはこの脆弱性に対処する無償のソフトウェア アップデートをリリースしました。

このアドバイザリは次のリンクに掲載されます。 http://www.cisco.com/warp/public/707/cisco-sa-20110729-tp.shtml

該当製品

脆弱性が存在する製品

Cisco TelePresence Recording Server ソフトウェア リリース 1.7.2 がこの脆弱性の影響を受けます。

注:Cisco TelePresence Recording Server ソフトウェア リリース 1.7.0 および 1.7.1 はこの脆弱性の影響を受けません。

脆弱性が存在しない製品

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Cisco TelePresence ソリューションは、ネットワークを介して遠く離れた場所にいる同僚や顧客、パートナーとの臨場感のある対面式のコミュニケーションやコラボレーションを実現します。

Cisco TelePresence Recording Server ソフトウェア リリース 1.7.2.0 には、デフォルトで有効にされた root 管理者アカウントが含まれます。この脆弱性の不正利用に成功した場合、リモートの攻撃者がこれらデフォルトのクレデンシャルを使用してシステム構成と設定を変更することが可能になります。攻撃者はこのアカウントを使用して、SSH セッションによりシステム構成や設定を変更できる可能性があります。

この脆弱性は Cisco Bug ID CSCtr76182 登録ユーザのみ)として文書化され、CVE ID として CVE-2011-2555 が割り当てられています。

脆弱性スコア詳細

シスコはこのアドバイザリでの脆弱性に対して Common Vulnerability Scoring System(CVSS)に基づいたスコアを提供しています。このセキュリティ アドバイザリでの CVSS スコアは CVSS バージョン 2.0 に基づいています。

CVSS は、脆弱性の重要度を示唆するもので、緊急性および対応の優先度を決定する手助けとなる標準ベースの評価法です。

シスコは基本評価スコア(Base Score)および現状評価スコア(Temporal Score)を提供しています。お客様はこれらを用いて環境評価スコア(Environmental Score)を算出し、個々のネットワークにおける脆弱性の影響度を導き出すことができます。

シスコは次の URL にて CVSS に関する FAQ を提供しています。

http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html

また、シスコは個々のネットワークにおける環境影響度を算出する CVSS 計算ツールを以下の URL にて提供しています。

http://tools.cisco.com/security/center/cvssCalculator.x

CSCtr76182 - Root account enabled with default password

Calculate the environmental score of CSCtr76182

CVSS Base Score - 10

Access Vector

Access Complexity

Authentication

Confidentiality Impact

Integrity Impact

Availability Impact

Network

Low

None

Complete

Complete

Complete

CVSS Temporal Score - 8.7

Exploitability

Remediation Level

Report Confidence

High

Official-Fix

Confirmed

影響

この脆弱性の不正利用に成功した場合、リモートの攻撃者がデフォルトのクレデンシャルを使用してシステム構成と設定を変更することが可能になります。

ソフトウェア バージョンおよび修正

ソフトウェアのアップグレードを検討する際には、 http://www.cisco.com/go/psirt/ および本アドバイザリ以降に公開のアドバイザリも参照して、起こりうる障害と完全なアップグレード ソリューションを判断してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報が不明確な場合は、Cisco Technical Assistance Center(TAC)もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

この脆弱性は Cisco TelePresence Recording Server ソフトウェア リリース 1.7.2.1 で修正されています。

注:Cisco TelePresence Recording Server ソフトウェア リリース 1.7.2.1 はリビルドであり、このリリースに対して他に加えられた変更はありません。Cisco TelePresence Recording Server ソフトウェア リリース 1.7.0 および 1.7.1 はこの脆弱性の影響を受けません。

回避策

この脆弱性を軽減する回避策があります。この回避策は、該当するシステムに手動介入することが必要です。この回避策の実行方法については、Cisco Technical Assistance Center(TAC)にお問い合わせください。Cisco TelePresence Recording Server ソフトウェア リリース 1.7.2.1 に移行することを推奨します。

ネットワーク内のシスコ デバイスに適用可能な他の対応策は、このアドバイザリの付属ドキュメントである『Cisco Applied Mitigation Bulletin』にて参照できます。 http://www.cisco.com/warp/public/707/cisco-amb-20110729-tp.shtml

修正済みソフトウェアの入手

シスコはこの脆弱性に対処する無償のソフトウェア アップデートをリリースしました。ソフトウェアの導入を行う前にお客様のメンテナンス プロバイダーにご相談いただくか、ソフトウェアのフィーチャ セットの互換性およびお客様のネットワーク環境に特有の問題に関してご確認ください。

お客様がインストールしたりサポートを受けたりできるのは、ご購入いただいたフィーチャ セットに対してのみとなります。そのようなソフトウェア アップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html に記載のシスコのソフトウェア ライセンスの条項、または Cisco.com ダウンロード サイトの http://www.cisco.com/public/sw-center/sw-usingswc.shtml に説明のあるその他の条項に従うことに同意したことになります。

ソフトウェアのアップグレードに関し、psirt@cisco.com もしくは security-alert@cisco.com にお問い合わせいただくことはご遠慮ください。

サービス契約をご利用のお客様

サービス契約をご利用のお客様は、通常のアップデート チャネルからアップグレード ソフトウェアを入手してください。ほとんどのお客様は、シスコのワールドワイド Web サイト上の Software Center からアップグレードを入手することができます。 http://www.cisco.com

サービス契約をご利用でないお客様

シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティ ベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center(TAC)に連絡してアップグレードを入手してください。TAC の連絡先は次のとおりです。

  • +1 800 553 2447(北米内からのフリー ダイヤル)
  • +1 408 526 7209(北米以外からの有料通話)
  • 電子メール:tac@cisco.com

無償アップグレードの対象であることをご証明いただくために、製品のシリアル番号と、このお知らせの URL をご用意ください。サービス契約をご利用でないお客様に対する無償アップグレードは、TAC 経由でご要求いただく必要があります。

さまざまな言語向けの各地の電話番号、説明、電子メール アドレスなどの、この他の TAC の連絡先情報については、 http://www.cisco.com/en/US/support/tsd_cisco_worldwide_contacts.html を参照してください。

不正利用事例と公式発表

不正利用の可能性について、お客様からシスコに直接報告がありました。PSIRT は、この脆弱性の広範な不正利用事例、および公式発表は存在していないと認識しています。

この通知のステータス:FINAL

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証を示唆するものでもありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。またシスコシステムズはいつでも本ドキュメントの変更や更新を実施する権利を有します。

後述する情報配信の URL を省略し、本アドバイザリの記述内容に関して単独の転載や意訳を実施した場合には、事実誤認ないし重要な情報の欠落を含む統制不可能な情報の伝搬が行われる可能性があります。

情報配信

本アドバイザリは、次のシスコのワールドワイド Web サイト上に掲載されます。

http://www.cisco.com/warp/public/707/cisco-sa-20110729-tp.shtml

ワールドワイド Web 以外にも、次の電子メールおよび Usenet ニュースの受信者向けに、この通知のテキスト版が Cisco PSIRT PGP キーによるクリア署名つきで投稿されています。

  • cust-security-announce@cisco.com
  • first-bulletins@lists.first.org
  • bugtraq@securityfocus.com
  • vulnwatch@vulnwatch.org
  • cisco@spot.colorado.edu
  • cisco-nsp@puck.nether.net
  • full-disclosure@lists.grok.org.uk
  • comp.dcom.sys.cisco@newsgate.cisco.com

このアドバイザリに関する今後の更新は、いかなるものもシスコのワールドワイド Web サイトに掲載される予定です。 しかしながら、前述のメーリング リストもしくはニュースグループに対し積極的に配信されるとは限りません。この問題に関心があるお客様は上記 URL にて最新情報をご確認いただくことをお勧めいたします。

更新履歴

Revision 1.0

2011-July-29

Initial public release.

シスコ セキュリティ手順

シスコ製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関する支援、およびシスコからセキュリティ情報を入手するための登録方法について詳しく知るには、シスコ ワールドワイド Web サイトの http://www.cisco.com/en/US/products/products_security_vulnerability_policy.html にアクセスしてください。このページには、シスコのセキュリティ通知に関してメディアが問い合わせる際の指示が掲載されています。すべてのシスコ セキュリティ アドバイザリは http://www.cisco.com/go/psirt/ で確認することができます。