Cisco Unified Communications Manager のオーバーフロー脆弱性

Cisco Unified Communications Manager（CUCM）（以前の CallManager）には 2 つのオーバーフロー脆弱性があり、認証されていないリモート ユーザはこれを悪用して、Denial of service（DoS; サービス拒否）状態を発生させたり、任意のコードを実行したりできます。

これらの脆弱性のうち 1 つには回避策があります。

Cisco では、該当するお客様用に、これらの脆弱性に対応する無償ソフトウェアを提供しております。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20070711-cucm で公開されています。

Cisco Unified Communications Manager（CUCM）（以前の CallManager）は、IP Phone、メディア処理デバイス、Voice over IP（VoIP）ゲートウェイ、およびマルチメディア アプリケーションなど、パケット テレフォニー ネットワーク デバイスにエンタープライズ テレフォニー機能を拡張する、Cisco IP テレフォニー ソリューションのコール処理コンポーネントです。

• CTL プロバイダー サービスのオーバーフロー
  CUCM の Certificate Trust List（CTL; 証明書信頼リスト）プロバイダー サービスにはヒープ オーバーフローの脆弱性があり、認証されていないリモート ユーザはこれを悪用して、DoS 状態を発生させたり、任意のコードを実行したりできます。CTL プロバイダー サービスはデフォルトでは TCP ポート 2444 を監視しますが、このポートはユーザが変更できます。この脆弱性は、CUCM バージョン 4.1(3)SR5、4.2(3)SR2、4.3(1)SR1、および 5.1(2) で修正されています。CUCM 3.x バージョンも、この脆弱性には該当しません。この問題は、Cisco Bug ID CSCsi03042 に記載されています。
  
• RIS Data Collector のヒープ オーバーフロー
  CUCM の Real-Time Information Server（RIS）Data Collector サービスにはヒープ オーバーフローの脆弱性があり、認証されていないリモート ユーザはこれを悪用して、DoS 状態を発生させたり、任意のコードを実行したりできます。RIS Data Collector プロセスはデフォルトでは TCP ポート 2556 を監視しますが、このポートはユーザが変更できます。この脆弱性は、CUCM バージョン 3.3(5)SR2b、4.1(3)SR5、4.2(3)SR2、4.3(1)SR1、および 5.1(2) で修正されています。この問題は、Cisco Bug ID CSCsi10509 に記載されています。
  

Cisco では、Common Vulnerability Scoring System（CVSS）に基づき、このアドバイザリで説明されている脆弱性のスコアを評価しました。このセキュリティ アドバイザリの CVSS スコア評価は、CVSS バージョン 1.0 に従って行われました。

Cisco では基本スコアと現状スコアを評価します。お客様はこれらを用いて環境評価スコア （Environmental Score） を算出し、個々のネットワークにおける脆弱性の影響度を導き出すことができます。

Cisco PSIRT は、すべてのケースにおける重みを「標準」に設定します。特定の脆弱性の環境的影響を判断する際には、重みパラメータを適用することを推奨します。

CVSS は、脆弱性の重大度を伝える標準ベースのスコア評価方式であり、対応の緊急度や優先度を判断するのに役立ちます。

Cisco は以下の URL にて CVSS に関する FAQ を提供しています。

http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html にアクセスしてください。

また Cisco は個々のネットワークにおける環境影響度を算出する CVSS 計算ツールを以下の URL にて提供しています。

https://sec.cloudapps.cisco.com/security/center/cvssCalculator.x

CTL プロバイダー サービスのオーバーフロー脆弱性は、CTL プロバイダー サービスが必要なければ、これを無効にすることで回避できます。通常、CTL プロバイダー サービスへのアクセスは、CUCM の認証と暗号化の機能を初期設定するときにのみ必要です。CUCM 4.x システムのサービスを無効にする方法についての詳細は、次のドキュメントを参照してください。

http://www.cisco.com/en/US/docs/voice_ip_comm/cucm/service/4_2_3/ccmsrva/sasrvact.html

CUCM 5.x システムのサービスを無効にする方法についての詳細は、次のドキュメントを参照してください。

http://www.cisco.com/en/US/docs/voice_ip_comm/cucm/service/5_0_1/ccmsrva/sasrvact.html#wp1048220

該当する CUCM システムへのトラフィックをスクリーニング デバイスでフィルタリングすると、両方の脆弱性を緩和できます。

• CTL プロバイダー サービスのオーバーフローを緩和するには、CTL プロバイダー サービスが稼働している CUCM システムと、通常は管理者のワークステーション上にある CTL クライアントとの間でのみ、TCP ポート 2444 へのアクセスを許可します。
  
• RIS Data Collector のオーバーフローを緩和するには、他の CUCM クラスタ システムからのみ、TCP ポート 2556 へのアクセスを許可します。
  

CTL プロバイダー（2444/TCP）サービスおよび RIS Data Collector（2556/TCP）サービスのデフォルトのポートは変更できます。変更した場合は、使用する値に基づいてフィルタリングを行う必要があります。ポートの値は、CUCM Administration インターフェイスで、System > Service Parameters メニューを選択し、適切なサービスを選択することで、表示できます。

現在、CUCM システムで直接フィルタリングを設定する方法はありません。

ネットワークを移動するトラフィックをブロックするのは往々にして困難ですが、インフラストラクチャ デバイスに送られてはならないトラフィックを識別し、ネットワークの境界でそのトラフィックをブロックすることは可能です。インフラストラクチャ ACL はネットワーク セキュリティのベスト プラクティスと考えられており、ここでの特定の脆弱性の回避策としてだけでなく、優れたネットワーク セキュリティへの長期的な付加機能として考慮する必要があります。先に示したフィルタを、インフラストラクチャ IP アドレス範囲内の IP アドレスを持つすべてのデバイスを保護するインフラストラクチャ アクセス リストの一部として、含める必要があります。

ホワイトペーパー『Protecting Your Core: Infrastructure Protection Access Control Lists』には、アクセスリストによるインフラストラクチャ保護のガイドラインと推奨される導入方法が記載されています。このドキュメントは、次のリンクで入手できます。

http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801a1a55.shtml

TCP/2444 および TCP/2556 へのアクセスをブロックするフィルタは、ACL が設定されているルータおよびその背後にある他のデバイスを保護するトランジット アクセス リストの一部として、ネットワークのエッジに配置する必要があります。トランジット ACL についての詳細は、次のリンクから入手できる White Paper『トランジット アクセス コントロール リスト： エッジでのフィルタリング』を参照してください。

http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801afc76.shtml

Cisco 機器に適用可能な追加の軽減策については以下の "Cisco Applied Intelligence companion document" より入手可能です。

https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20070711-cucm

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

これらの脆弱性は、IBM Internet Security Systems X-Force チームから Cisco に報告されたものです。