severity

アドバイザリーID : cisco-sa-20021004-toll-fraud

初公開日 : 2002-10-04 15:30

バージョン 1.1 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Unityの定義済み制限テーブルは、国際電話オペレータへのコールをブロックしません。デフォルト設定では、North American Numbering Plan(NANP)International Direct Dial(IDD)プレフィクス、または9 011で始まるプレフィクスだけがブロックされます。お客様から直接ダイヤルの国際電話がブロックされるため、国際番号にコールを転送できないにもかかわらず、事前定義された規制テーブルの下では、国際電話オペレータの抜け穴が引き続き許可されていると予想される場合があります。このサブバージョンは、Cisco Unityの設定方法に精通し、有効なシステムのユーザ名とパスワードにアクセスできる企業の内外のユーザによって実現されます。さらに、多くのインストールでExample AdministratorとExample Subscriberアカウントが共通して存在することでさらに複雑になります。

この脆弱性は、CSCdy54570で文書化されています。これらの問題は、Mitre CVEでもCAN-2002-1189およびCAN-2002-1190として参照されています。

次の製品は、この脆弱性の影響を受けるものと特定されています。

- Cisco Unityソフトウェアバージョン3.1.5以前（すべての2.xバージョンを含む）

特に明記されていない限り、他のすべてのシスコ製品は影響を受けません。

この脆弱性に対しては、次の「回避策」セクションで説明する回避策があります。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20021004-toll-fraudで入手できます。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

Cisco Unityソフトウェアバージョン3.1.5以前（すべての2.xバージョンを含む）

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

Cisco Unityの定義済み制限テーブルは、北米のダイヤルプラン用であり、国際電話オペレータへのコールをブロックしません。デフォルト設定では、9 011で始まるIDDパターンだけがブロックされます。サブスクライバは、Cisco Unityで国際電話オペレータ(9 00)をポイントして国際電話をかけるようにコール転送を設定できるため、問題が発生する可能性があります。

Unityをインストールした後、お客様はExample AdministratorおよびExample Subscriberアカウントを無視することがよくあります。これらの脆弱性は、Cisco Unityにダイヤルインし、デフォルトの内線番号とパスワードを使用してアカウントにログインし、国際電話オペレータまたはその他の有料番号にコールを転送するように設定することによって不正利用される可能性があります。

このような現象が発生するシナリオが、他にも 2 つあります。

1. 内部ユーザは、国際番号または有料番号に転送する独自のCisco Unityメールボックスを設定できます。

2. 外部からの発信者は、パスワードが適切に保護されていないメールボックス（例：password=1234）にログインし、国際番号または有料番号に転送する可能性があります。

この脆弱性は、CSCdy54570で文書化されています。

回避策

制限テーブルに追加のダイヤル文字列を追加すると、Unityがトールコールを発信できなくなります。たとえば、ローカルでのダイヤル機能を維持したまま、すべての国際通話と有料通話をブロックするには、次の制限テーブルエントリが北米でのインストールに役立つ場合があります。

91???????*     No

90*            No

9??????????    Yes

9???????       Yes

上記の例では、最初の回線がすべての国内（米国）の市外通話を照合してブロックします。2番目の回線は、国際電話オペレータを含むすべての国際電話を照合し、ブロックします。3番目の回線は一致し、ローカルコールを許可します。この行は、お住まいの地域で市外局番が使用されていない場合は必要ありません。4番目の回線が一致し、ローカルコールが許可されます。この行または他のローカルで適用可能な行は、すべての制限テーブルに適用する必要があります。一部の場所では、市外通話に10桁のダイヤル番号を使用しています。このような場所では、制限によって特定の非有料プレフィックスが許可され、その他すべての有料プレフィックスがブロックされます。

ダイヤルプランが上記の例と異なる北米以外のインストールでは、規制テーブルのエントリが異なります。規制テーブルの作成に役立つ情報については、『Cisco Unity System Administration Guide』の「Restriction Tables」というタイトルのセクションを参照してください。

また、Example AdministratorとExample Subscriberアカウントを保護することを推奨します。これらのアカウントでは、少なくともデフォルトの内線番号とデフォルトパスワードを変更する必要があります。これは、Cisco Unityシステムのセキュリティを強化する一環として行う必要があります。詳細については、『ホワイトペーパー：Cisco Unity 3.0のベストプラクティス』を参照してください。

Example AdministratorとExample Subscriberアカウントを削除することもできます。Example Administratorアカウントを誤って削除すると、Cisco Unityサーバが正しく機能しなくなる可能性があるため、削除する際には注意が必要です。これらのアカウントを削除するプロセスは、http://www.cisco.com/warp/public/788/AVVID/remove_example_admin.htmlで文書化されています。

その他のリスク軽減方法としては以下のものがあります。

1. UnityがCall Managerと統合されている場合、Unityが公衆電話交換網(PSTN)へのダイヤルに使用するルートパターンにルートフィルタを追加すると、国際電話オペレータへのコールが防止されます。

2. PSTN機能が不要な場合は、UnityによるPSTNへのコールの発信を制限します。

3. 適切なパスワード ポリシーを適用します。『Cisco Unity 3.0のベストプラクティス』のホワイトペーパーを参照してください。

修正済みソフトウェア

Cisco Unityのデフォルト設定は、将来のバージョンで国際的なオペレータへの転送を禁止するように変更される予定ですが、この脆弱性を軽減するためにソフトウェアをアップグレードする必要はありません。

不正利用事例と公式発表

Cisco PSIRTでは、このアドバイザリに記載されている脆弱性の悪用に関する情報を入手しています。Cisco Unityサーバの誤使用を防ぐために、「回避策」セクションで説明されている手順を実行することをお勧めします。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20021004-toll-fraud

改訂履歴

リビジョン 1.1

2002年10月5日

特定のリリースバージョンと追加されたCVE番号を含むように更新

リビジョン 1.0

2002年10月4日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。