Multiple Vulnerabilities in OpenSSL (June 2015) Affecting Cisco Products

2015 年 11 月 25 日 - ライター翻訳版
その他のバージョン: PDFpdf | 英語版 (2015 年 11 月 13 日) | フィードバック

Advisory ID:cisco-sa-20150612-openssl

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150612-openssl

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

Revision 1.16

Last Updated 2015 November 13 15:35 GMT

For Public Release 2015 June 12 16:00 UTC (GMT)

関連資料:


要約

2015 年 6 月 11 日、OpenSSL Project は 6 個の独立した脆弱性と Logjam の研究で言及された不正利用に対する対策の強化についてリリースしました。

1 つ以上の脆弱性の影響を受ける OpenSSL パッケージ バージョンが複数のシスコ製品に組み込まれています。この脆弱性によって、認証されていないリモートの攻撃者が DoS 状態を発生させたり、OpenSSL プロセス メモリの一部を破損できる可能性があります。

追加情報が入手可能になり次第、このアドバイザリは更新されます。

シスコは、これらの脆弱性に対応するための無償ソフトウェア アップデートをリリースする予定です。

これらの脆弱性を軽減する回避策が利用できる場合があります。

このアドバイザリは、次のリンクで確認できます。
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150612-openssl

該当製品


この不具合に関する情報は、Cisco Bug Search Tool で参照でき、回避策(可能な場合)、修正ソフトウェア バージョンなどのプラットフォーム固有の情報が確認できます。

脆弱性が認められる製品

次のシスコ製品は、2015 年 6 月 12 日付けの OpenSSL プロジェクト セキュリティ アドバイザリに記載されている脆弱性のうち、少なくとも 1 つの影響を受けることが確認されています。

Product Defect Fixed releases availability
Collaboration and Social Media
Cisco WebEx Meetings Server versions 1.x CSCuu82698 2.0.1.915 and later
Cisco WebEx Meetings Server versions 2.x CSCuu82698 2.0.1.915 and later
Cisco WebEx Node for MCS CSCuu82686 3.12.9.1 (July 2015)
Cisco WebEx Social CSCuu82594 No additional releases are planned.
Endpoint Clients and Client Software
Cisco Agent for OpenFlow CSCuu82738 4.002 (TBD)
Cisco AnyConnect Secure Mobility Client for Android CSCuu83398 A patch will be available July 2015.
Cisco AnyConnect Secure Mobility Client for Linux CSCuu83398 A patch will be available July 2015.
Cisco AnyConnect Secure Mobility Client for Windows CSCuu83398 A patch will be available July 2015.
Cisco AnyConnect Secure Mobility Client for iOS CSCuu83398 A patch will be available July 2015.
Cisco Jabber Guest 10.0(2) CSCuu83421 10.7 (TBD)
Cisco Jabber Software Development Kit CSCuu82560 11.0(0) (26-Aug-2015)
Cisco Jabber for Android CSCuu83433 11.0 (TBD)
Cisco Jabber for Mac CSCuu82558 11.0(1) (TBD)
Cisco Jabber for Windows CSCuu82561 11.0 (July 2015)
Cisco Jabber for iOS CSCuu82555 11.0 (Aug. 2015)
Cisco WebEx Meetings Client - Hosted CSCuu83331 Affected systems have been updated.
Cisco WebEx Meetings Client - On Premises CSCuu82694 Affected systems have been updated.
Cisco WebEx Meetings for Android CSCuu82689 8.5 (Sept. 2015)
WebEx Meetings Server - SSL Gateway CSCuu82699 2.6 (TBD)
WebEx Recording Playback Client CSCuu82702 Affected systems have been updated.
Network Application, Service, and Acceleration
Cisco ACE 30 Application Control Engine Module CSCuu82343 Affected systems have been updated.
Cisco ACE 4710 Application Control Engine (A5) CSCuu82343 Affected systems have been updated.
Cisco Application and Content Networking System (ACNS) CSCuu82717 5.5.41 (Oct. 2015)
Cisco InTracer CSCuu83316 16.4.0 (TBD)
Cisco Network Admission Control (NAC) CSCuu83378 A patch will be available for vulnerable releases Oct. 2015.
Cisco Visual Quality Experience Server CSCuu83371 3.10.3 (24-July-2015)
3.9.6 (31-July-2015)
3.8.7 (7-Aug-2015)
Cisco Visual Quality Experience Tools Server CSCuu83371 3.10.3 (24-July-2015)
3.9.6 (31-July-2015)
3.8.7 (7-Aug-2015)
Cisco Wide Area Application Services (WAAS) CSCuu82735 5.5.5 (7-Aug-2015)
6.1.0 (Sept. 2015)
Network and Content Security Devices
Cisco ASA CX and Cisco Prime Security Manager CSCuu82737 Affected systems will be updated (31-July-2015)
Cisco Adaptive Security Appliance (ASA) CSCuu83280 9.2.4.1
Cisco Content Security Appliance Updater Servers CSCuu83328 2.0.3 (TBD)
Cisco Content Security Management Appliance (SMA) CSCuu82683 Affected systems will be updated by (30-Jun-2015)
Cisco Email Security Appliance (ESA) CSCuu82678 TBD
Cisco FireSIGHT System Software CSCuu82682 5.3.0.7 (14-Sept-2015)
5.3.1.6 (14-Sept-2015)
5.4.0.4 (14-Sept-2015)
5.4.1.3 (14-Sept-2015)
Cisco IPS CSCuu82497 Cisco IPS 7.1.11 (TBD)
Cisco IPS 7.3.5 (TBD)
Cisco Identity Services Engine (ISE) CSCuu83386 1.4 (Oct 2015)
2.0 (Oct 2015)
Cisco IronPort Encryption Appliance (IEA) CSCuu82681 No additional releases are planned.
Cisco NAC Guest Server CSCuu82729 No additional releases are planned.
Cisco NAC Server CSCuu82725 A patch will be available for vulnerable releases Oct. 2015
Cisco Physical Access Control Gateway CSCuu82476 1.5.4 (15-Aug-2015)
Cisco Secure Access Control Server (ACS) CSCuu82493 5.008 (TBD)
Cisco Web Security Appliance (WSA) CSCuv84060 9.0.0 (TBD)
Network Management and Provisioning
Cisco Application Networking Manager CSCuu82344 ANM OVA 5.2.7 (TBD)
Cisco Cloupia Unified Infrastructure Controller CSCuu83341 5.3.2.0 (30-Jul-2015)
5.4.0.0 (30-Oct-2015)
Cisco MATE Collector CSCuv32694 6.2.1(Aug/Sept 2015)
6.1.4 (Aug/Sept 2015)
Cisco MATE Design CSCuv32694 6.2.1(Aug/Sept 2015)
6.1.4 (Aug/Sept 2015)
Cisco MATE Live CSCuv32694 6.2.1(Aug/Sept 2015)
6.1.4 (Aug/Sept 2015)
Cisco Mobile Wireless Transport Manager CSCuu83361 6.001(10-July-2015)
Cisco Multicast Manager CSCuu82380 No additional releases are planned
Cisco Netflow Collection Agent CSCuu82404 1.1.1 (12-July-2015)
Cisco Network Analysis Module CSCuu82402 6.2.1 (12-July-2015)
Cisco Packet Tracer CSCuu82441 7.0 (24-July-2015)
Cisco Prime Access Registrar CSCuu82382 7.0.1
Cisco Prime Collaboration Assurance CSCuu82409 PCA 11.0 (Aug 2015)
Cisco Prime Collaboration Deployment CSCuu82533 11.5 (TBD)
Cisco Prime Collaboration Provisioning CSCuu82408 11.0 (31-July-2015)
Cisco Prime Data Center Network Manager (DCNM) CSCuu82350 Affected systems have been updated.
Cisco Prime Infrastructure Standalone Plug and Play Gateway CSCuu83360 2.2.0.14 (July 2015)
Cisco Prime Infrastructure CSCuu82403 3.0 (Aug.2015)
Cisco Prime LAN Management Solution (LMS - Solaris) CSCuu82378 4.002(005) (Aug. 2015)
Cisco Prime License Manager CSCuu82442 11.0 (TBD)
Cisco Prime Network Registrar (CPNR) CSCuu82381 8.1.x( TBD)
8.2.x (TBD)
8.3.2 (Sept. 2015)
Cisco Prime Network Registrar IP Address Manager (IPAM)
CSCut84576
IPAM 8.1.3 OVA
Cisco Prime Network Services Controller CSCuu82412 Affected versions have been updated.
Cisco Prime Network CSCuu82370 Affected systems have been updated
Cisco Prime Optical for SPs CSCuu82386 A patch will be available (25-July-2015)
Cisco Prime Performance Manager CSCuu82372 1.6. (31-July-2015)
1.7(Sept 2015)
Cisco Prime Security Manager CSCuu82733 9.3.5.1 (July 2015)
Cisco Security Manager CSCuu82411 4.7 SP2CP1 (31-July-2015)
4.8 SP1 (31-July-2015)
4.9 FCS (31-Aug-2015)
Cisco Show and Share (SnS) CSCuu82449 5.6.1 (Aug. 2015)
Cisco UCS Central CSCuu82364 1.4(1a) (Dec. 2015)
Local Collector Appliance (LCA) CSCuu82760 2.2.10 (31-July-2015)
Routing and Switching - Enterprise and Service Provider
Cisco 910 Industrial Router CSCuu85190 1.2.1 (30-Jun-2015)
Cisco ASR 5000 Series CSCuu83317 20.0 (TBD)
Cisco Application Policy Infrastructure Controller (APIC) CSCuu83343 1.1(2h)
1.2(1) (pending)
Cisco Connected Grid Router - CGOS CSCuu82349 Please migrate to NXT
Cisco Connected Grid Router CSCuu83373 See CSCuu82763 for fixed releases
Cisco IOS Software and Cisco IOS-XE Software CSCuu82607 15.5(03)S (TBD)
Cisco IOS-XE (WebUI feature only) CSCuu82763 (TBD)
Cisco IOS-XR CSCuu83297 See CSCur26433 for fixed releases
Cisco MDS 9000 Series Multilayer Switches CSCuv71201 6.2.15 (Dec 2015)
Cisco Nexus 1000V InterCloud CSCuu82353 3.1.1 (TBD)
Cisco Nexus 1000V Series Switches CSCuu82360 N1K 5.2(1)SV3(1.5) (July 2015)
Cisco Nexus 1010 CSCuu82470 5.2(1)SP1(7.4) (Oct. 2015)
Cisco Nexus 3X00 Series Switches CSCuu82362 (TBD)
Cisco Nexus 4000 Series Blade Switches CSCuu82499 4.1(2)E1(1p) (31-July-2015)
Cisco Nexus 5000 Series Switches CSCuu83350 7.1(2)N1(1)
Cisco Nexus 6000 Series Switches CSCuu83350 7.1(2)N1(1)
Cisco Nexus 7000 Series Switches CSCuu82356 6.2.14 (15-Aug-2015)
7.2 (30-Sept-2015)
Cisco Nexus 9000 (ACI/Fabric Switch) CSCuu83344 11.1(2)
Cisco Nexus 9000 Series (standalone, running NxOS) CSCuu82359 7.0(3)I2(1).(30-Jun-2015)
Cisco ONS 15454 Series Multiservice Provisioning Platforms CSCuu82475 10.52
Cisco OnePK All-in-One VM CSCuu82474 Admin update via shell
Cisco Service Control Operating System CSCuu82515 5.2.0 (Sept. 2015)
Routing and Switching - Small Business
Cisco RV180W Wireless-N Multifunction VPN Router CSCuu83390 No further releases are planned.
Cisco Sx220 switches CSCuu83388 1.1.x.x (TBD)
Cisco Sx300 switches CSCuu83393 1.5.x.x (June 2016)
Cisco Sx500 switches CSCuu83395 1.5..x.x (June 2016)
Unified Computing
Cisco Standalone rack server CIMC CSCuu82366 2.0.8 (Aug. 2015)
Cisco UCS Invicta Series Solid State Systems CSCuu82354 TBD
Cisco Unified Computing System (Management software) CSCuu83383 3.1(0.9)A (Oct. 2015)
Cisco Unified Computing System B-Series (Blade) Servers CSCuu83352 2.2.7 (February 2016)
Cisco Virtual Security Gateway CSCuu83351 5.2(1)VSG2(1.4) (Aug. 30
2015)
Cisco Virtualization Experience Media Engine CSCuu83434 No further releases planned.
Voice and Unified Communications Devices
Cisco 190 ATA Series Analog Terminal Adaptor CSCuu82526 1.2.2 (June 2016)
Cisco 8800 Series IP Phones - VPN Feature CSCuu83429 11.0 (TBD)
Cisco ATA 187 Analog Telephone Adaptor CSCuu82570 9.2(3) (30-Dec-2015)
Cisco Agent Desktop for Cisco Unified Contact Center Express CSCuu83413 11.0 (Aug. 2015)
Cisco Agent Desktop CSCuu82330 9.5(1) (TBD)
Cisco Computer Telephony Integration Object Server (CTIOS) CSCuu82335 11.0 (TBD)
Cisco DX Series IP Phones CSCuu82576 TBD
Cisco Emergency Responder CSCuu82547 11.5 (TBD)
Cisco Finesse CSCuu83416
Cisco Hosted Collaboration Mediation Fulfillment CSCuu82553 10.6.2 (TBD)
Cisco IM and Presence Service (CUPS) CSCuu82551 11.5.0.98000-120 (TBD)
Cisco IP Interoperability and Collaboration System (IPICS) CSCuu82461 IPICS 5.0 (Dec.2015)
Cisco MediaSense CSCuu82571 10.5 (TBD)
11.0 (TBD)
Cisco MeetingPlace CSCuu82563 8.6 (9-July-2015)
Cisco Paging Server (Informacast) CSCuu82554 11.0.2 (6-July-2015)
Cisco Paging Server CSCuu82554 11.0.2 (6-July-2015)
Cisco SPA112 2-Port Phone Adapter CSCuu82486 1.4.1 (31-OCt-2015)
Cisco SPA122 ATA with Router CSCuu82486 1.4.1 (31-OCt-2015)
Cisco SPA232D Multi-Line DECT ATA CSCuu82486 1.4.1 (31-OCt-2015)
Cisco SPA30X Series IP Phones CSCuu82490 7.6.1 (17-Sept-2015)
Cisco SPA50X Series IP Phones CSCuu82490 7.6.1 (17-Sept-2015)
Cisco SPA51X Series IP Phones CSCuu82490 7.6.1 (17-Sept-2015)
Cisco SPA525G CSCuu82487 7.6.1 (17-Sept-2015)
Cisco SocialMiner CSCuu82529 11.0(1) (15-Sept-2015)
Cisco Unified 7800 Series IP Phones CSCuu82579 11.0 (Oct. 2015)
Cisco Unified 8831 series IP Conference Phone CSCuu82568 10.3.2 (Oct. 2015)
Cisco Unified 8945 IP Phone CSCuu83426 TBD
Cisco Unified 8961 IP Phone CSCuu83419 9.4(2) (Feb.2016)
Cisco Unified 9951 IP Phone CSCuu83419 9.4(2) (Feb.2016)
Cisco Unified 9971 IP Phone CSCuu83419 9.4(2) (Feb.2016)
Cisco Unified Attendant Console Advanced CSCuu82523 11.0.1 (19-Aug-2015)
Cisco Unified Attendant Console Business Edition CSCuu82523 11.0.1 (19-Aug-2015)
Cisco Unified Attendant Console Department Edition CSCuu82523 11.0.1 (19-Aug-2015)
Cisco Unified Attendant Console Enterprise Edition CSCuu82523 11.0.1 (19-Aug-2015)
Cisco Unified Attendant Console Premium Edition CSCuu82523 11.0.1 (19-Aug-2015)
Cisco Unified Attendant Console Standard CSCuu82525 11.5(1) (Sept. 2015)
Cisco Unified Communications Domain Manager CSCuu82540 Affected systems have been updated.
Cisco Unified Communications Manager (UCM) CSCuu82530 11.5 (TBD)
Cisco Unified Communications Manager Session Management Edition (SME) CSCuu82530 11.5 (TBD)
Cisco Unified Contact Center Enterprise CSCuu82335 11.0 (TBD)
Cisco Unified Contact Center Express CSCuu82538 11.0 (Aug.2015)
Cisco Unified IP Conference Phone 8831 for Third-Party Call Control CSCuu82519 9.3(5) (31-Dec-2015)
Cisco Unified IP Phone 7900 Series CSCuu82580 9.4(1)SR1.2
Cisco Unified Intelligence Center (CUIC) CSCuu82332 11.5 (May 2016)
Cisco Unified Intelligent Contact Management Enterprise CSCuu82335 11.0 (TBD)
Cisco Unified Sip Proxy CSCuu82329 8.5(x) (June 2016)
9.0.1(June 2016)
Cisco Unified Wireless IP Phone CSCuu83436 1.4.8 (Dec. 2015)
Cisco Unified Workforce Optimization CSCuu82595 10.5 SR6
11.0
Cisco Unity Connection CSCuu83410 9.1(2) (TBD)
11.5 (TBD)
10.5(2) (TBD)
Video, Streaming, TelePresence, and Transcoding Devices
Cisco AnyRes Live (CAL) CSCuu82742 9.6 (Aug. 2015)
Cisco D9036 Modular Encoding Platform CSCuu82746 2.4 (Oct. 2015)
Cisco Digital Media Players (DMP) 4300 Series CSCuu83362 5.4(1)RB(2P3) (15-July-2015)
5.3(6)RB(2P3) (15-July-2015)
Cisco Digital Media Players (DMP) 4400 Series CSCuu83362 5.4(1)RB(2P3) (15-July-2015)
5.3(6)RB(2P3) (15-July-2015)
Cisco Edge 300 Digital Media Player CSCuu82504 1.6RB3 (15-July-2015)
Cisco Edge 340 Digital Media Player CSCuu82505 1.2 (15-July-2015)
Cisco Enterprise Content Delivery System (ECDS) CSCuu83363 2.6.5 (31-July-2015)
Cisco Expressway Series CSCuu82459 X8.6 (July 2015)
Cisco Headend System Release CSCuu86854 3.0.2
Cisco Internet Streamer (CDS) CSCuu82713 4.2 (TBD)
Cisco Jabber Video for TelePresence (Movi) CSCuu82436 No additional releases are planned.
Cisco Media Experience Engines (MXE) CSCuu83369 MXE3500 v3.5 (22-Jun-2015)
Cisco Media Services Interface CSCuu82417 No additional releases are planned.
Cisco Model D9485 DAVIC QPSK CSCuu82739 1.2.19 (31-Jul-2015)
Cisco TelePresence 1310 CSCuu82518
Cisco TelePresence Advanced Media Gateway Series CSCuu82419 No additional releases are planned.
Cisco TelePresence Conductor CSCuu82420 X4.0 (27-July-2015)
Cisco TelePresence Content Server (TCS) CSCuu74320 6.3( 21-July-2015)
Cisco TelePresence EX Series CSCuu82450 7.3.3 (19-June-2015)
Cisco TelePresence ISDN GW 3241 CSCuu82429 2.2MR5 (Sept 2015)
Cisco TelePresence ISDN GW MSE 8321 CSCuu82429 2.2MR5 (Sept 2015)
Cisco TelePresence ISDN Link CSCuu82431 1.1.6 (Jan 2016)
Cisco TelePresence MCU (8510, 8420, 4200, 4500 and 5300) CSCuu82435 4.5MR2 (July 2015)
Cisco TelePresence MX Series CSCuu82450 7.3.3 (19-June-2015)
Cisco TelePresence Profile Series CSCuu82450 7.3.3 (19-June-2015)
Cisco TelePresence SX Series CSCuu82450 7.3.3 (19-June-2015)
Cisco TelePresence Serial Gateway Series CSCuu82447 1.0MR5 (Oct 2015)
Cisco TelePresence Server 8710, 7010 CSCuu82452 4.2 (July 2015)
Cisco TelePresence Server on Multiparty Media 310, 320 CSCuu82452 4.2 (July 2015)
Cisco TelePresence Server on Virtual Machine CSCuu82452 4.2 (July 2015)
Cisco TelePresence Supervisor MSE 8050 CSCuu82437 2.3 (July 2015)
Cisco TelePresence System 1000 CSCuu82518
Cisco TelePresence System 1100 CSCuu82518
Cisco TelePresence System 1300 CSCuu82518
Cisco TelePresence System 3000 Series CSCuu82518
Cisco TelePresence System 500-32 CSCuu82518
Cisco TelePresence System 500-37 CSCuu82518
Cisco TelePresence TX 9000 Series CSCuu82518
Cisco TelePresence Video Communication Server (VCS) CSCuu82459 X8.6 (July 2015)
Cisco Telepresence Integrator C Series CSCuu82450 7.3.3 (19-June-2015)
Cisco VEN501 Wireless Access Point CSCuu82710 20.2.48.11 (July 2015)
Cisco Video Distribution Suite for Internet Streaming (VDS-IS/CDS-IS) CSCuu83370 4.2 (31-July-2015)
Cisco Video Surveillance 3000 Series IP Cameras CSCuu82480 2.7 (31-Jan-2016)
Cisco Video Surveillance 4000 Series High-Definition IP Cameras CSCuu82478 Affected systems will be updated (31-Jan-2016)
Cisco Video Surveillance 4300E/4500E High-Definition IP Cameras CSCuu82479 Affected systems will be updated (31-Jan-2016)
Cisco Video Surveillance 6000 Series IP Cameras CSCuu82480 2.7 (31-Jan-2016)
Cisco Video Surveillance 7000 Series IP Cameras CSCuu82480 2.7 (31-Jan-2016)
Cisco Video Surveillance Media Server CSCuu82481 7.7.0 (26-Sept-2015)
Cisco Video Surveillance PTZ IP Cameras CSCuu82480 2.7 (31-Jan-2016)
Cisco Videoscape Control Suite CSCuu86705 3.6 (TBD)
Cloud Object Store (COS) CSCuu82712 2.1.2 (Available)
3.0.1 (24-July-2015)
Tandberg Codian ISDN GW 3210/3220/3240 CSCuu82429 2.2MR5 (Sept 2015)
Tandberg Codian MSE 8320 model CSCuu82429 2.2MR5 (Sept 2015)
Wireless
Cisco IOS Access Points CSCuu71585 See CSCuu82607 for first fixes
Cisco Mobility Services Engine (MSE) CSCuu83358 8.0 - 8.0.130.0 (15-Oct-2015)
Cisco Wireless LAN Controller (WLC) CSCuu82416 8.2 and previous releases (Nov. 2015)
Cisco Hosted Services
Cisco Common Services Platform Collector CSCuu82668 Affected systems have been updated.
Cisco Connected Analytics For Collaboration CSCuu82671 A patch will be available June 30
2015.
Cisco Intelligent Automation for Cloud CSCuu82460 A patch file is available for vulnerable releases.
Cisco Registered Envelope Service (CRES) CSCuu83326 4.4.1 (10-Jun-2015)
Cisco Universal Small Cell 5000 Series running V3.4.2.x software CSCuu82508 V3.4.2.24 (July 2015)
Cisco Universal Small Cell 7000 Series running V3.4.2.x software CSCuu82508 V3.4.2.24 (July 2015)
Cisco Universal Small Cell CloudBase CSCuu83403 TBD
Cisco WebEx Messenger Service CSCuu82700 7.9.8 EP 1 (19-Jun-2015)
Cisco Webex Multimedia Platform CSCuu83333 3.8.3.1
Partner Supporting Service (PSS) 1.x CSCuu83380 2.7 (10-Jul-2015)
Small Cell factory recovery root filesystem V2.99.4 or later CSCuu83402 TBD

脆弱性が認められない製品

シスコは、次の製品が、2015 年 6 月 11 日に OpenSSL Project が発表した 6 個の脆弱性の影響を受けないことを確認しました。

Endpoint Clients and Client Software

  • Cisco IP Communicator
  • Cisco NAC Agent for Mac
  • Cisco NAC Agent for Web
  • Cisco NAC Agent for Windows
  • Cisco UC Integration for Microsoft Lync
  • Cisco Unified Personal Communicator
  • Cisco WebEx Meetings for BlackBerry
  • Cisco WebEx Productivity Tools

Network Application, Service, and Acceleration
  • Cisco ACE GSS 4400 Series Global Site Selector
  • Cisco CSS 11500 Series Content Security Switch
  • Cisco Extensible Network Controller (XNC)
  • Cisco Nexus Data Broker (NDB)

Network and Content Security Devices
  • Cisco ASA Content Security and Control (CSC) Security Services Module
  • Cisco Adaptive Security Device Manager
  • Cisco Physical Access Manager

Network Management and Provisioning
  • Cisco Configuration Professional
  • Cisco Connected Grid Device Manager
  • Cisco Connected Grid Network Management System
  • Cisco Insight Reporter
  • Cisco Linear Stream Manager
  • Cisco MGC Node Manager (CMNM)
  • Cisco Prime Analytics
  • Cisco Prime Cable Provisioning
  • Cisco Prime Central for SPs
  • Cisco Prime Collaboration Manager
  • Cisco Prime Home
  • Cisco Prime Provisioning for SPs
  • Cisco Prime Provisioning
  • Cisco Unified Provisioning Manager (CUPM)
  • CiscoWorks Network Compliance Manager

Routing and Switching - Enterprise and Service Provider
  • Cisco Broadband Access Center Telco Wireless
  • Cisco IOS-XE (SSLVPN feature)

Voice and Unified Communications Devices
  • Cisco 7937 IP Phone
  • Cisco Billing and Measurements Server
  • Cisco PSTN Gateway (PGW) 2200
  • Cisco Packaged Contact Center Enterprise
  • Cisco Remote Silent Monitoring
  • Cisco SPA8000 8-port IP Telephony Gateway
  • Cisco SPA8800 IP Telephony Gateway with 4 FXS and 4 FXO Ports
  • Cisco TAPI Service Provider (TSP)
  • Cisco USC8088
  • Cisco Unified 3900 series IP Phones
  • Cisco Unified 6900 series IP Phones
  • Cisco Unified 6901 IP Phones
  • Cisco Unified 6911 IP Phones
  • Cisco Unified 6945 IP Phones
  • Cisco Unified Client Services Framework
  • Cisco Unified E-Mail Interaction Manager
  • Cisco Unified Integration for IBM Sametime
  • Cisco Unified Operations Manager (CUOM)
  • Cisco Unified Web Interaction Manager
  • Cisco Voice Portal (CVP)
  • xony VIM/CCDM/CCMP

Video, Streaming, TelePresence, and Transcoding Devices
  • Cisco AnyRes VOD (CAL)
  • Cisco D9034-S Encoder
  • Cisco D9054 HDTV Encoder
  • Cisco D9804 Multiple Transport Receiver
  • Cisco D9824 Advanced Multi Decryption Receiver
  • Cisco D9854/D9854-I Advanced Program Receiver
  • Cisco D9858 Advanced Receiver Transcoder
  • Cisco D9859 Advanced Receiver Transcoder
  • Cisco D9865 Satellite Receiver
  • Cisco DCM Series 9900-Digital Content Manager
  • Cisco TelePresence Exchange System (CTX)
  • Cisco TelePresence Management Suite (TMS)
  • Cisco TelePresence Management Suite Analytics Extension (TMSAE)
  • Cisco TelePresence Management Suite Extension (TMSXE)
  • Cisco TelePresence Management Suite Extension for IBM
  • Cisco TelePresence Management Suite Provisioning Extension
  • Cisco Virtual PGW 2200 Softswitch

Wireless
  • Cisco Wireless Control System (WCS)

Cisco Hosted Services
  • Cisco Cloud Web Security
  • Cisco Unified Communications Upgrade Readiness Assessment
  • Cisco Unified Services Delivery Platform (CUSDP)
  • Cisco WebEx Meetings (Meeting Center, Training Center, Event Center, Support Center)
  • Cisco WebEx WebOffice & Workspace
  • Communication/Collaboration Sizing Tool
  • Virtue Machine Placement Tool
他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

2015 年 6 月 11 日、OpenSSL Project は 6 個の脆弱性、および Diffie-Hellman(DH)への対策を発表しました。この脆弱性の少なくとも 1 つが、OpenSSL のクライアントとサーバの両方に影響を与えます。脆弱性の名称およびそれらに関連する Common Vulnerabilities and Exposures(CVE)ID は、次のとおりです。

これらの脆弱性がシスコ製品に与える影響は、製品によって異なる可能性があります。

シスコ製品については、本ドキュメントの「該当製品」リストの Cisco Bug ID 情報を参照してください。追加情報や詳しい手順は、シスコの各製品のインストール ガイド、コンフィギュレーション ガイド、メンテナンス ガイドに記載されています。さらに説明やアドバイスが必要な場合、サポート担当者にお問い合わせください。

DHE Man-in-the-Middle(Logjam)

OpenSSL は、768 ビット未満の DH パラメーターによるハンドシェイクを拒否することによって Transport Layer Security(TLS)クライアントに対する保護を追加しました。以前シスコは、「Understanding Logjam and Future-Proofing Your Infrastructure」において、DHE 中間者攻撃(Logjam)に関するブログを公開しました。

OpenSSL X509_cmp_time Read Out-of-Bounds Denial of Service Vulnerability

OpenSSL が発表したこの脆弱性では、認証されていないリモートの攻撃者によって、対象システムで Denial of Service(DoS)状態が発生する可能性があります。

この脆弱性は、影響を受けたソフトウェアによって、ユーザによる入力に対して適切でない境界チェックが行われることに起因します。攻撃者は、細工した証明書を送信し、証明書失効リスト(CRL)が影響を受けたソフトウェアによって処理されるようにして、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者はシステムで DoS 状態を発生させることが可能になります。

この脆弱性には CVE ID として CVE-2015-1789 が割り当てられています。

OpenSSL CMS Verify Unknown Hash Function Denial of Service Vulnerability

OpenSSL が発表したこの脆弱性では、認証されていないリモートの攻撃者によって、Denial of Service(DoS)状態が発生する可能性があります。

この脆弱性は、影響を受けたソフトウェアによって、ユーザの入力に対して不適切な処理が行われることに起因します。認証されていないリモートの攻撃者は、細工したメッセージをターゲット システムへ送信することにより、脆弱性を不正利用することができます。このようなメッセージを処理すると、攻撃者は、影響を受けたソフトウェアで応答を停止させることができます。この不正利用により、攻撃者はターゲット システムで DoS 状態を発生させることが可能になります。

この脆弱性には CVE ID として CVE-2015-1792 が割り当てられています。

OpenSSL DTLS Invalid Free Memory Corruption Vulnerability

OpenSSL には、認証されていないリモートの攻撃者がターゲット システムで Denial of Service(DoS)状態を発生させる可能性のある脆弱性があります。

この脆弱性は、Datagram Transport Layer Security(DTLS)のピア データの検証が十分でないことに起因します。認証されていないリモートの攻撃者は、細工されたアプリケーション データを影響を受けたソフトウェアに送信することにより、脆弱性を不正利用することができます。この脆弱性を不正利用することにより、攻撃者は DoS 状態を引き起こし、正当なユーザに対するサービス拒否を発生させる可能性があります。

この脆弱性には CVE ID として CVE-2014-8176 が割り当てられています。

OpenSSL Malformed ECParameters Infinite Loop Denial of Service Vulnerability

OpenSSL が発表したこの脆弱性では、認証されていないリモートの攻撃者によって、Denial of Service(DoS)状態が発生する可能性があります。

この脆弱性は、ユーザによる入力を適切に処理できないことに起因します。攻撃者は、細工した依頼をターゲット システムへ送信することにより、脆弱性を不正利用することができます。このような依頼を処理すると、攻撃者は、影響を受けたソフトウェアで応答を停止させることができます。

この脆弱性には CVE ID として CVE-2015-1788 が割り当てられています。

OpenSSL Missing EnvelopedContent PKCS #7 Denial of Service Vulnerability

OpenSSL が発表したこの脆弱性では、認証されていないリモートの攻撃者によって、Denial of Service(DoS)状態が発生する可能性があります。

この脆弱性は、影響を受けたソフトウェアが、ユーザが提供した Public-Key Cryptography Standard #7(PKCS #7)のデータを適切に処理できないことに起因します。攻撃者は、細工した依頼をターゲット システムへ送信することにより、脆弱性を不正利用することができます。リクエストを処理すると、影響を受けたソフトウェアが応答を停止し、正当なユーザに対して DoS 状態が発生する可能性があります。

この脆弱性には CVE ID として CVE-2015-1790 が割り当てられています。

OpenSSL NewSessionTicket Double-Free Memory Corruption Vulnerability

OpenSSL が発表したこの脆弱性では、認証されていないリモートの攻撃者がメモリ コラプションを発生させる可能性があります。

この脆弱性は、影響を受けたソフトウェアがセッション データを適切に処理できないことに起因します。攻撃者は、細工したセッション リクエストをターゲット システムへ送信することにより、脆弱性を不正利用することができます。このようなリクエストを処理すると、影響を受けたソフトウェアはメモリ コラプションが発生し、サービス妨害(DoS)状態となる可能性があります。

この脆弱性には CVE ID として CVE-2015-1791 が割り当てられています。

脆弱性スコア詳細

シスコはこのアドバイザリでの脆弱性に対して Common Vulnerability Scoring System(CVSS)に基づいたスコアを提供しています。本セキュリティ アドバイザリでの CVSS スコアは、CVSS バージョン 2.0 に基づいています。

CVSS は、脆弱性の重要度を示唆するもので、緊急性および対応の優先度を決定する組織の手助けとなる標準ベースの評価法です。

シスコでは、基本評価スコア(Base Score)および現状評価スコア(Temporal Score)を提供しています。お客様はこれらを用いて環境評価スコア(Environmental Score)を算出し、自身のネットワークにおける脆弱性の影響度を知ることができます。

シスコは次のリンクで CVSS に関する追加情報を提供しています。

http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html

またシスコでは、各ネットワークにおける環境影響度を算出する CVSS 計算ツールを次のリンクで提供しています。

http://intellishield.cisco.com/security/alertmanager/cvss


OpenSSL X509_cmp_time Read Out-of-Bounds Denial of Service Vulnerability

Calculate the environmental score of CVE-2015-1789

CVSS Base Score - 7.1

Access Vector

Access Complexity

Authentication

Confidentiality Impact

Integrity Impact

Availability Impact

Network

Medium

None

None

None

Complete

CVSS Temporal Score - 5.3

Exploitability

Remediation Level

Report Confidence

Unproven

Official-Fix

Confirmed


OpenSSL CMS Verify Unknown Hash Function Denial of Service Vulnerability

Calculate the environmental score of CVE-2015-1792

CVSS Base Score - 7.8

Access Vector

Access Complexity

Authentication

Confidentiality Impact

Integrity Impact

Availability Impact

Network

Low

None

None

None

Complete

CVSS Temporal Score - 6.4

Exploitability

Remediation Level

Report Confidence

Functional

Official-Fix

Confirmed


OpenSSL Malformed ECParameters Infinite Loop Denial of Service Vulnerability

Calculate the environmental score of CVE-2015-1788

CVSS Base Score - 7.8

Access Vector

Access Complexity

Authentication

Confidentiality Impact

Integrity Impact

Availability Impact

Network

Low

None

None

None

Complete

CVSS Temporal Score - 5.8

Exploitability

Remediation Level

Report Confidence

Unproven

Official-Fix

Confirmed


OpenSSL Missing EnvelopedContent PKCS #7 Denial of Service Vulnerability

Calculate the environmental score of CVE-2015-1790

CVSS Base Score - 4.9

Access Vector

Access Complexity

Authentication

Confidentiality Impact

Integrity Impact

Availability Impact

Local

Low

None

None

None

Complete

CVSS Temporal Score - 3.6

Exploitability

Remediation Level

Report Confidence

Unproven

Official-Fix

Confirmed


OpenSSL NewSessionTicket Double-Free Memory Corruption Vulnerability

Calculate the environmental score of CVE-2015-1791

CVSS Base Score - 7.1

Access Vector

Access Complexity

Authentication

Confidentiality Impact

Integrity Impact

Availability Impact

Network

Medium

None

None

None

Complete

CVSS Temporal Score - 5.3

Exploitability

Remediation Level

Report Confidence

Unproven

Official-Fix

Confirmed



OpenSSL DTLS Invalid Free Memory Corruption Vulnerability

Calculate the environmental score of CVE-2014-8176

CVSS Base Score - 7.8

Access Vector

Access Complexity

Authentication

Confidentiality Impact

Integrity Impact

Availability Impact

Network

Low

None

None

None

Complete

CVSS Temporal Score - 6.4

Exploitability

Remediation Level

Report Confidence

Functional

Official-Fix

Confirmed


影響

このアドバイザリに記載されている脆弱性を不正利用すると、攻撃者は DoS 状態を発生させることが可能になります。

ソフトウェア バージョンおよび修正

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや、本アドバイザリ以降に公開されるアドバイザリを参照して、起こりうる障害と、それに十分に対応できるアップグレード ソリューションを判断してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center(TAC)もしくは契約しているメンテナンス プロバイダーにお問い合わせください。

回避策

特定のシスコ製品の回避策を確認するには、Cisco Bug Search Tool を使用して Cisco Bug ID を参照してください。

修正済みソフトウェアの入手

シスコはこのアドバイザリに記載された脆弱性に対処する無償のソフトウェア アップデートを提供しています。ソフトウェアの導入を行う前に、お客様のメンテナンス プロバイダーにご相談いただくか、ソフトウェアのフィーチャ セットの互換性およびお客様のネットワーク環境の特有の問題をご確認ください。

お客様がインストールしたりサポートを受けたりできるのは、ご購入いただいたフィーチャ セットに対してのみとなります。そのようなソフトウェア アップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html に記載のシスコのソフトウェア ライセンスの条項に従うことに同意したことになります。

サービス契約をご利用のお客様

サービス契約をご利用のお客様は、通常のアップデート チャネルからアップグレード ソフトウェアを入手してください。ほとんどのお客様は、Cisco.com の Software Navigator からアップグレードを入手することができます。http://www.cisco.com/cisco/software/navigator.html

サードパーティのサポート会社をご利用のお客様

シスコ パートナー、正規販売代理店、サービス プロバイダーなど、サードパーティのサポート会社と以前に契約していたか、または現在契約しており、その会社からシスコ製品の提供または保守を受けているお客様は、該当するサポート会社に連絡し、正しい処置についてのサポートを受けてください。

回避策や修正の効果は、使用している製品、ネットワーク トポロジー、トラフィックの性質や組織の目的などに関するお客様の状況によって異なります。影響を受ける製品やリリースは多種多様であるため、回避策を実施する前に、対象ネットワークで適用する回避策または修正が最適であることを、お客様のサービス プロバイダーやサポート会社にご確認ください。

サービス契約をご利用でないお客様

シスコから製品を直接購入したもののシスコのサービス契約をご利用いただいていない場合、または、シスコ認定パートナー、リセラー、およびディストリビュータ(認定サードパーティ ベンダー)から購入したものの修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center(TAC)に連絡してアップグレード ソフトウェアを入手してください。

  • +1 800 553 2447(北米からの無料通話)
  • +1 408 526 7209(北米以外からの有料通話)
  • E メール:tac@cisco.com

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。サービス契約をご利用でないお客様は TAC に無償アップグレードをリクエストしてください。

さまざまな言語向けの各地の電話番号、説明、電子メール アドレスなどの、この他の TAC の連絡先情報については、シスコ ワールドワイドお問い合わせ先(http://www.cisco.com/en/US/support/tsd_cisco_worldwide_contacts.html)を参照してください。

不正利用事例と公式発表

Cisco Product Security Incident Response Team(PSIRT)では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。

これらの脆弱性は、2015 年 6 月 11 日に OpenSSL Project により公開されたものです。

この通知のステータス:Final

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証を示唆するものでもありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。またシスコはいつでも本ドキュメントの変更や更新を実施する権利を有します。新しい情報が入り次第、このドキュメントは更新される予定です。

後述する情報配信の URL を省略し、本アドバイザリの記述内容に関して単独の転載や意訳を実施した場合には、事実誤認ないし重要な情報の欠落を含む統制不可能な情報の伝搬が行われる可能性があります。


情報配信

このアドバイザリは次のリンクにある Cisco Security に掲載されます。

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150612-openssl

また、このアドバイザリのテキスト版が Cisco PSIRT PGP キーによるクリア署名つきで次の E メールで配信されています。

  • cust-security-announce@cisco.com
  • first-bulletins@lists.first.org
  • bugtraq@securityfocus.com
  • vulnwatch@vulnwatch.org
  • cisco@spot.colorado.edu
  • cisco-nsp@puck.nether.net
  • fulldisclosure@seclists.org

本アドバイザリに関する今後の更新は Cisco.com に掲載されますが、メーリング リストで配信されるとは限りません。更新内容については、本アドバイザリの URL でご確認ください。

今後のドキュメントや関連コンテンツの入手手順については、Security Vulnerability PolicyReceiving Security Vulnerability Information from Cisco を参照してください。


更新履歴

Revision 1.16 2015-November-13 Updated first fixed software for APIC from 1.2(1) (Sept. 2015) to 1.1(2h), 1.2(1) (pending). Updated first fixed software for Cisco Nexus 9000 (ACI/Fabric Switch) from Affected systems have been updated to 11.1(2)
Revision 1.15 2015-November-04 Cisco Unified Computing System B-Series (Blade) Servers had the first fixed software updated to 2.2.7 (February 2016).
Revision 1.14 2015-October-16 Updated Cisco MDS 9000 Series Multilayer Switches to point to a new bug ID, and removed the first fixed version of 5.2.8h (Mar 2016). Updated the bug ID for Cisco Web Security Appliance (WSA)
Revision 1.13 2015-October-07 Cisco Unified Intelligence Center (CUIC) first fixed was changed from 11.0 (Aug 2015) to 11.5 (May 2016)
Revision 1.12 2015-Aug-24 Updated Affected Products section.
Revision 1.11 2015-July-30 Updated Affected Products section.
Revision 1.10 2015-July-24 Updated Affected Products section.
Revision 1.9 2015-July-16 Updated Affected Products section. Updated bug IDs for Nexus products.
Revision 1.8 2015-July-15 Update Affected Products section.
Revision 1.7 2015-July-09 Update Affected Products section.
Revision 1.6 2015-July-07 Update Affected Products section.
Revision 1.5 2015-July-06 Update Affected Products section.
Revision 1.4 2015-June-23 Update Affected Products section.
Revision 1.3 2015-June-19 Update Affected Products section.
Revision 1.2 2015-June-17 Update Affected Products section.
Revision 1.1 2015-June-16 Update Affected Products section.
Revision 1.0 2015-June-12 Initial public release

シスコ セキュリティ手順

シスコ製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関するサポート、およびシスコからセキュリティ情報を入手するための登録方法の詳細については、Cisco.com の http://www.cisco.com/web/about/security/psirt/security_vulnerability_policy.html を参照してください。この Web ページには、Cisco Security Advisory に関してメディアが問い合わせる際の指示が掲載されています。すべてのシスコ セキュリティ アドバイザリは、http://www.cisco.com/go/psirt で確認することができます。