Low

アドバイザリーID : cisco-sa-20020702-acsunix-acmeweb

初公開日 : 2002-07-02 18:00

バージョン 1.2 : Final

CVSSスコア : 3.3

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2001-0748

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Secure Access Control Server for UnixにはAcme.serverが実装されているため、ディレクトリトラバーサルの脆弱性が存在します。この修正は、現在利用可能なACS Unixバージョン2.3.6.1に含まれています。

この脆弱性は、Cisco Bug ID CSCdu47965に記載されています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20020702-acsunix-acmewebから入手できます。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

この不具合は、Cisco Secure ACS for Unixサーバのバージョン2.0からバージョン2.3.6までのリリースに含まれています。

脆弱性を含んでいないことが確認された製品

Cisco Secure ACS for Windows NTには、この問題に対する脆弱性はありません。Cisco Access Registrarには、この問題に対する脆弱性はありません。

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

この脆弱性は、Cisco Secure ACS UNIXインストールの一部であるAcme.serverプログラムに存在します。この脆弱性は、Acme.serverユーティリティで修復されています。このパッチはシスコのお客様が利用でき、Cisco Secure ACS UNIX製品に組み込まれています。

この脆弱性は、ユーザがサーバURLを参照し、次の例のように末尾にスラッシュを追加すると引き起こされます。http://servername:9090///この不正利用により、ターゲットサーバのファイルとファイルシステムが表示されます。

この脆弱性には、Cisco Bug ID CSCdu47965が割り当てられています。

回避策

この脆弱性の回避策には、強力なファイアウォールを使用してCisco Secure ACS for Unixを保護し、アクセス制御を行い、システム、特にポート9090への外部アクセスまたは非認証アクセスを防止するための一般的な推奨事項が含まれます。これは暫定的な回避策であり、パッチまたはアップグレードを推奨します。

この問題に対しては、アップグレードの代わりにインストールできるパッチが利用可能です。パッチは次の一時的な場所で入手できます。

ftp://ftpeng.cisco.com/ftp/csu/Acme-Patch.tar.Z

パッチの詳細については、TACにお問い合わせください。このパッチは、Acme.serverのセキュリティの問題を修正します。これには、Acmeによって提供される修正されたファイルが含まれます。このパッチは、Cisco Secureのサポートされているバージョン、つまりCiscoSecure/Unix 2.3(3)以降に適用できます。このパッチは、FastAdmin/Acme.zipという1つのファイルで構成されています。

パッチのインストール手順

パッチをインストールするには、次の手順に従います。これらのコマンドは、管理者がCisco Secure ACS UNIX上で実行する必要があります。

1. 次のコマンドを入力して、Cisco Secureを停止します。

/etc/rc0.d/K80CiscoSecure

2. Cisco Secureがインストールされているベースディレクトリに移動します。

cd $BASEDIR

3. 圧縮されたtarファイルAcme-Patch.tar.Zを現在のディレクトリにコピーします。

4. ファイルを解凍して解凍します。

uncompress Acme-Patch.tar.Z

tar xvf Acme-Patch.tar

5. 次のコマンドを使用してCisco Secureを起動します。

/etc/rc2.d/S80CiscoSecure

修正済みソフトウェア

利用可能なパッチがあり、修正はCisco Secure ACS Unixバージョン2.3.6.1以降のすべてのバージョンに含まれています。既存のバージョンでは、パッチを適用することで問題を解決できます。新しいバージョンにアップグレードする必要はありません。

不正利用事例と公式発表

Acme.serverに関する問題は、2001年6月にBugtraqリストに掲載されましたが、元の掲載ではシスコ製品に関する具体的な言及は行われていません。このアドバイザリで説明されている脆弱性の悪用に関する情報は Cisco PSIRT に寄せられていません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20020702-acsunix-acmeweb

改訂履歴

リビジョン 1.2

2002年7月24日

「該当製品」セクションの更新

リビジョン 1.1

2002年7月3日

回避策セクションに更新

リビジョン 1.0

2002年7月2日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。