Medium
Medium
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco Secure Desktopには、認証されていないリモートの攻撃者によるクロスサイトスクリプティング攻撃を可能にする脆弱性が存在します。
この脆弱性は、Cisco Secure Desktopにおける入力衛生の欠如に起因します。 認証されていないリモートの攻撃者は、この脆弱性を不正利用して、該当する製品のWebインターフェイスにHTTP POST要求を送信するように設計されている悪意のあるWebサイトにターゲットユーザを誘導する可能性があります。 ターゲットユーザが悪意のあるページにアクセスすると、攻撃者は該当サイトのセキュリティコンテキストでユーザのブラウザで任意のスクリプトコードを実行する可能性があります。
プルーフオブコンセプトコードは一般に入手可能です。
シスコはこの脆弱性を確認し、更新されたソフトウェアをリリースしました。
攻撃者がこの脆弱性を不正利用するには、悪意のあるWebサイトにアクセスするようターゲットユーザを誘導する必要があります。 この不正利用を実行するには、攻撃者がソーシャルエンジニアリング手法を使用する必要があります。たとえば、電子メール、インスタントメッセージ、またはその他の通信手段を介してターゲットユーザにサイトへのリンクを送信する方法などです。
この脆弱性を発見していただいたCore Security Technologies社のMatias Pablo Brutti氏とErnesto Alvarez氏に感謝いたします。
Cisco Secure Desktop 3.5で行われた変更により、古いバージョンのASAファームウェアを使用し、Cisco Secure Desktop 3.5以降を使用するCisco ASAは、この脆弱性の影響を受けません。
この問題は、Cisco ASAファームウェアバージョンで修正されています
8.0(5) 以降.
該当製品
この脆弱性にはCisco Bug ID CSCsw15646が割り当てられています。
脆弱性のある製品
3.5より前のバージョンのCisco Secure Desktopには脆弱性が存在します。Cisco Secure Desktopは、Cisco ASA 5500シリーズ適応型セキュリティアプライアンスのコンポーネントです。 Cisco ASAアプライアンスは、Cisco Secure Desktop機能が有効になっている場合にのみ脆弱です。 8.2(1)、8.1(2.7)、8.0(5)より前のバージョンのCisco ASAアプライアンスには脆弱性が存在します。
脆弱性を含んでいないことが確認された製品
回避策
適切なアップデートを適用することを推奨します。
不審な送信元や認識されていない送信元からの電子メールメッセージを開かないよう推奨します。 電子メールメッセージに含まれるリンクや添付ファイルが安全かどうかをユーザーが確認できない場合は、開かないことをお勧めします。
Cisco Applied Intelligenceチームは、管理者がこの脆弱性を悪用しようとする攻撃を識別して緩和できるように、関連する次のドキュメントを作成しました。このドキュメントは、更新されたソフトウェアを適用する前に確認できます。cisco-amb-20060922-understanding-xss
ユーザは、非要請リンクが安全に追跡できることを確認する必要があります。
修正済みソフトウェア
シスコは次の修正済みバージョンをリリースしました。
Cisco Secure Desktop
バージョン 3.5Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンス
バージョン8.2(1)、8.1(2.7)、および8.0(5)
契約が有効なシスコのお客様は、CiscoのSoftware Centerからアップデートを入手できます。 契約をご利用でないお客様は、1-800-553-2447または1-408-526-7209のCisco Technical Assistance Center(TAC)に連絡するか、tac@cisco.comのEメールでアップグレードを入手できます。
推奨事項
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。
URL
改訂履歴
| バージョン | 説明 | セクション | ステータス | 日付 |
| 1.0 | 初版リリース | 適用外 | Final | 2010年2月1日 |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。