Medium

アドバイザリーID : Cisco-SA-20070315-CVE-2007-1467

初公開日 : 2007-03-15 20:15

バージョン 1.0 : Final

CVSSスコア : 1.9

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2007-1467

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

複数のシスコ製品は非認証を可能にする可能性があるオンライン ヘルプ システムでクロスサイト スクリプティング攻撃を行なうために脆弱性がリモート攻撃者含まれています。

Webベース オンライン ヘルプ システム・インタフェースの検索機能が十分にユーザが指定する入力をフィルタリングしないので存在 するこの脆弱性。Â はユーザの巧妙に細工された リンクに従うように確信によって非認証、リモート攻撃者この脆弱性を不正利用する可能性があります。Â はこの操作攻撃者が影響を受けたサイトという点においてユーザーのブラウザーの任意のコードを実行することを可能にする可能性があります。Â はエクスプロイト 攻撃者が敏感なブラウザ 情報にアクセスするか、またはターゲットとされたユーザとして影響を受けたサイトの処置をとることを可能にする可能性があります。

Cisco はセキュリティ応答のこの脆弱性を確認し、公認回避策を発行しました。

攻撃者はこの脆弱性を直接不正利用できません; その代り、それらはユーザを巧妙に細工された リンクに従うように確信させる必要があります。Â はエクスプロイト 攻撃者が機密ブラウザ 情報にアクセスするか、またはユーザとして影響を受けたサイトの処置をとる割り当て攻撃者かもしれない影響を受けたサイトという点において任意スクリプト コードを実行することを可能にする可能性があります。いくつかの関連アプリケーションの Â はターゲットとされたユーザの特権の影響を受けたシステムで、攻撃者 コンフィギュレーション変更を行なうかもしれません。Â はこのベクトル エクスプロイトが発生する場合がある前にターゲットとされたユーザが管理インターフェイスに認証するように要求するかもしれません。

該当製品の多数が価値のある資産とみなされるかもしれないのでこの脆弱性は団体諜報活動に投資される攻撃者の注意を引く可能性があります。Â は競争相手のデータストリームに、ネットワーク アクセスする、機能または VoIP 電話 システム盗まれた情報で対処するユーザーのための選択結果です。

管理者は強く影響を受けたシステムの何れかのメンテナンス タスクを行っている間非要請リンクに従わないように勧められます。Â 管理者はまた有効な認証クッキーがアドミニストレータのワークステーションに残らないようにするために後管理 セッションの完了ログアウトしたようにする必要があります。

該当製品

Cisco は次のリンクで Cisco バグ ID CSCsh91761 （Secure ACS）、CSCsh52300 （VPN Client）、CSCsh91884 （Unified Personal Communicator）、CSCsi12435 （MeetingPlace）、CSCsh91901 （MeetingPlace Express）、CSCsi10405 （CallManager）、CSCsh91953 （IP Communicator）、CSCsh93070 （Unified Video Advantage）、CSCsh93854 （ビデオ会議）、CSCek71039 （WAN Manager）、CSCsh95009 （Security Device Manager）、CSCsi10818 （NAM）、CSCsi10674 （CiscoWorks）、および CSCsi10982 （Wireless LAN Solution Engine）を当たるためにセキュリティ応答をリリースしました: cisco-sr-20070315-xss

脆弱性のある製品

オンライン ヘルプ システムコンポーネントが含まれているシスコ製品は脆弱です。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

回避策

管理者は利用可能になるとき更新を加えるように助言されます。

ユーザは信頼できない Webサイトを参照しないように助言されます。

ユーザは信頼できないソースからのリンクに従わないように助言されます。  ユーザはそれらに続く前にリンクの信頼性を確認するように助言されます。

管理者は検討してくださいか PreSearch.html および PreSearch.class ファイルを名前を変更することかもしれないです。

管理者は管理インターフェイスのログアウトするように助言されます一度セッションを完了する。

修正済みソフトウェア

パッチかソフトウェア アップデートは利用できません。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例やその公表を確認していません。

URL

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/Cisco-SA-20070315-CVE-2007-1467

改訂履歴

バージョン

説明

セクション

ステータス

Date

1.0

初版リリース

該当なし

最終版

2007-Mar-15

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。