定義済みの制限テーブルにより、国際電話オペレータへのコールが可能

Cisco Unityの定義済み制限テーブルは、国際電話オペレータへのコールをブロックしません。デフォルト設定では、North American Numbering Plan(NANP)International Direct Dial(IDD)プレフィクス、または9 011で始まるプレフィクスだけがブロックされます。お客様から直接ダイヤルの国際電話がブロックされるため、国際番号にコールを転送できないにもかかわらず、事前定義された規制テーブルの下では、国際電話オペレータの抜け穴が引き続き許可されていると予想される場合があります。このサブバージョンは、Cisco Unityの設定方法に精通し、有効なシステムのユーザ名とパスワードにアクセスできる企業の内外のユーザによって実現されます。さらに、多くのインストールでExample AdministratorとExample Subscriberアカウントが共通して存在することでさらに複雑になります。

この脆弱性は、CSCdy54570で文書化されています。これらの問題は、Mitre CVEでもCAN-2002-1189およびCAN-2002-1190として参照されています。

次の製品は、この脆弱性の影響を受けるものと特定されています。

• Cisco Unityソフトウェアバージョン3.1.5以前（すべての2.xバージョンを含む）
  

特に明記されていない限り、他のすべてのシスコ製品は影響を受けません。

この脆弱性に対しては、次の「回避策」セクションで説明する回避策があります。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20021004-toll-fraudで入手できます。

Cisco Unityの定義済み制限テーブルは、北米のダイヤルプラン用であり、国際電話オペレータへのコールをブロックしません。デフォルト設定では、9 011で始まるIDDパターンだけがブロックされます。サブスクライバは、Cisco Unityで国際電話オペレータ(9 00)をポイントして国際電話をかけるようにコール転送を設定できるため、問題が発生する可能性があります。

Unityをインストールした後、お客様はExample AdministratorおよびExample Subscriberアカウントを無視することがよくあります。これらの脆弱性は、Cisco Unityにダイヤルインし、デフォルトの内線番号とパスワードを使用してアカウントにログインし、国際電話オペレータまたはその他の有料番号にコールを転送するように設定することによって不正利用される可能性があります。

このような現象が発生するシナリオが、他にも 2 つあります。

1. 内部ユーザは、国際番号または有料番号に転送する独自のCisco Unityメールボックスを設定できます。
   
2. 外部からの発信者は、パスワードが適切に保護されていないメールボックス（例：password=1234）にログインし、国際番号または有料番号に転送する可能性があります。
   

この脆弱性は、CSCdy54570で文書化されています。

制限テーブルに追加のダイヤル文字列を追加すると、Unityがトールコールを発信できなくなります。たとえば、ローカルでのダイヤル機能を維持したまま、すべての国際通話と有料通話をブロックするには、次の制限テーブルエントリが北米でのインストールに役立つ場合があります。

91???????*     No 
90*            No 
9??????????    Yes
9???????       Yes

上記の例では、最初の回線がすべての国内（米国）の市外通話を照合してブロックします。2番目の回線は、国際電話オペレータを含むすべての国際電話を照合し、ブロックします。3番目の回線は一致し、ローカルコールを許可します。この行は、お住まいの地域で市外局番が使用されていない場合は必要ありません。4番目の回線が一致し、ローカルコールが許可されます。この行または他のローカルで適用可能な行は、すべての制限テーブルに適用する必要があります。一部の場所では、市外通話に10桁のダイヤル番号を使用しています。このような場所では、制限によって特定の非有料プレフィックスが許可され、その他すべての有料プレフィックスがブロックされます。

ダイヤルプランが上記の例と異なる北米以外のインストールでは、規制テーブルのエントリが異なります。規制テーブルの作成に役立つ情報については、『Cisco Unity System Administration Guide』の「Restriction Tables」というタイトルのセクションを参照してください。

また、Example AdministratorとExample Subscriberアカウントを保護することを推奨します。これらのアカウントでは、少なくともデフォルトの内線番号とデフォルトパスワードを変更する必要があります。これは、Cisco Unityシステムのセキュリティを強化する一環として行う必要があります。詳細については、『ホワイトペーパー：Cisco Unity 3.0のベストプラクティス』を参照してください。

Example AdministratorとExample Subscriberアカウントを削除することもできます。Example Administratorアカウントを誤って削除すると、Cisco Unityサーバが正しく機能しなくなる可能性があるため、削除する際には注意が必要です。これらのアカウントを削除するプロセスは、http://www.cisco.com/warp/public/788/AVVID/remove_example_admin.htmlで文書化されています。

その他のリスク軽減方法としては以下のものがあります。

1. UnityがCall Managerと統合されている場合、Unityが公衆電話交換網(PSTN)へのダイヤルに使用するルートパターンにルートフィルタを追加すると、国際電話オペレータへのコールが防止されます。
   
2. PSTN機能が不要な場合は、UnityによるPSTNへのコールの発信を制限します。
   
3. 適切なパスワード ポリシーを適用します。『Cisco Unity 3.0のベストプラクティス』のホワイトペーパーを参照してください。
   

Cisco Unityのデフォルト設定は、将来のバージョンで国際的なオペレータへの転送を禁止するように変更される予定ですが、この脆弱性を軽減するためにソフトウェアをアップグレードする必要はありません。

Cisco PSIRTでは、このアドバイザリに記載されている脆弱性の悪用に関する情報を入手しています。Cisco Unityサーバの誤使用を防ぐために、「回避策」セクションで説明されている手順を実行することをお勧めします。