Critical

アドバイザリーID : cisco-sa-20101027-cs

初公開日 : 2010-10-27 16:00

バージョン 1.3 : Final

CVSSスコア : 10.0

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2010-3036

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Oracle SolarisおよびMicrosoft Windows向けCiscoWorks Common Servicesには、リモートの認証されていない攻撃者がシステム管理者の権限を使用してホストデバイス上で任意のコードを実行する可能性のある脆弱性が存在します。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。

この脆弱性を軽減する回避策はありません。この脆弱性の攻撃対象を制限する対応策が用意されています。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20101027-cs で公開されています。

該当製品

脆弱性のある製品

CiscoWorks Common Servicesバージョン3.0.5以降は、この脆弱性の影響を受けます。バージョン4.0以降には、この修正が含まれています。

管理者は、CiscoWorksホームページの右上隅にある[バージョン情報(About)]ボタンをクリックして、CiscoWorks Common Servicesのバージョンの詳細とライセンス情報を確認できます。

デフォルトのCommon Servicesがインストールされている次のCiscoWorks製品は、基盤となるCommon Servicesのバージョンが原因で、この脆弱性の影響を受けます。

製品

製品バージョン

Common Servicesバージョン

Cisco Unified Operations Manager

2.0.1

3.0.5

Cisco Unified Operations Manager

2.0.2

3.0.5

Cisco Unified Operations Manager

2.0.3

3.0.5

Cisco Unified Service Monitor

2.0.1

3.0.5

CiscoWorks QoS Policy Manager

4.0、4.0.1、および4.0.2

3.0.5

CiscoWorks LAN Management Solution

2.6アップデート

3.0.5

CiscoWorks LAN Management Solution

3.0

3.1

CiscoWorks LAN Management Solution

3.0（2007年12月更新）

3.1.1

CiscoWorks LAN Management Solution

3.1

3.2

CiscoWorks LAN Management Solution

3.2

3.3.0

Cisco Security Manager

3.0.2

3.0.5

Cisco Security Manager

3.1および3.1.1

3.0.5

Cisco Security Manager

3.2

3.1

Cisco Security Manager

3.2.2

3.2.0

Cisco Security Manager

3.3

3.2.0

Cisco Security Manager

3.3.1

3.2.0

Cisco Security Manager

4.0

3.3.0

Cisco Security Manager

4.0.1

3.3.0

Cisco TelePresence Readiness Assessment Manager

1.0

3.0.5

注：CiscoWorks製品は、基盤となるCommon Servicesのバージョンが脆弱性のあるバージョンにアップグレードされた場合、脆弱性が存在する可能性があります。

脆弱性を含んでいないことが確認された製品

3.0.5より前のバージョンのCiscoWorks Common Servicesを使用する製品には脆弱性はありません。CiscoWorks Common Servicesバージョン4.0以降を使用する製品には脆弱性はありません。

デフォルトのCommon Servicesがインストールされている次のCiscoWorks製品は、基盤となるCommon Servicesのバージョンが原因で、この脆弱性の影響を受けません。

製品

製品バージョン

Common Servicesバージョン

CiscoWorks IP Communications Operations Manager

1.0

3.0 SP1

CiscoWorks IP Communications Service Monitor

1.0

3.0 SP1

Cisco Unified Operations Manager

1.1

3.0.3

Cisco Unified Operations Manager

2.0

3.0.3

Cisco Unified Service Monitor

1.1

3.0.3

Cisco Unified Service Monitor

2.0

3.0.4

CiscoWorks LAN Management Solution

2.5、2.5.1、2.6

3.0.3

CiscoWorks LAN Management Solution

4.0

4.0

Cisco Security Manager

3.0

3.0.3

Cisco Security Manager

3.0.1

3.0.4

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

CiscoWorks Common Servicesは、CiscoWorksソリューションセット内のネットワーク管理アプリケーションによって共有される一連の管理サービスです。

CiscoWorks Common Servicesは、CiscoWorksアプリケーションがデータストレージ、ログイン、ユーザロール定義、アクセス権限、セキュリティプロトコル、およびナビゲーションの共通モデルを共有するための基盤を提供します。すべての管理機能で標準のユーザエクスペリエンスを実現します。また、インストール、データ管理（バックアップのリストアとインポートとエクスポートを含む）、イベントとメッセージの処理、ジョブとプロセスの管理、ソフトウェアの更新など、すべての基本的なシステム・レベルの操作に共通のフレームワークを提供します。

攻撃可能なバッファオーバーフローは、CiscoWorks Common ServicesのWebサーバモジュールでシスコが開発した認証コードに存在します。このコードは、認証なしでリモートから不正利用できます。

不正利用に成功すると、Webサーバがクラッシュしたり、攻撃者がサーバ上で任意のコードを実行したりする可能性があります。すべてのコードは、システム管理者権限で実行されます。

この脆弱性は、TCPポート443または1741で不正利用される可能性があります。

注：デフォルトのHTTPポートとHTTPSポートはサーバ上で再設定できます。

この脆弱性は、CiscoWorks Common Services for Oracle SolarisとMicrosoft Windowsの両方に影響を与えます。

この脆弱性は、Cisco Bug ID CSCti41352 (登録ユーザ専用)に記載されています。

この脆弱性には、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2010-3036が割り当てられています。

回避策

トランジットアクセスコントロールリスト(tACL)などのフィルタを使用して、信頼できるホストからのみ管理ワークステーションへのアクセスを許可できます。この緩和策により、脆弱性の攻撃対象が制限されます。

TCPポート443およびTCPポート1741を使用するHTTPSパケットを拒否するフィルタを、入力アクセスポイントから入るトラフィックからネットワークを保護するために、tACLポリシーの一部としてネットワーク全体に展開する必要があります。このポリシーは、フィルタが適用されているネットワークデバイスとその背後にある他のデバイスを保護するように設定する必要があります。TCPポート443とTCPポート1741を使用するHTTPSパケットのフィルタも、信頼できるクライアントからのトラフィックだけが許可されるように、脆弱性のあるネットワークデバイスの前に配置する必要があります。

注：tACLの詳細については、次のリンクの「トランジットアクセスコントロールリスト：エッジでのフィルタリング」を参照してください。http://www.cisco.com/en/US/tech/tk648/tk361/technologies_white_paper09186a00801afc76.shtml

ネットワーク内のシスコデバイスに適用可能な他の対応策については、このアドバイザリに関連するCisco Applied Intelligenceのドキュメントhttps://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20101027-csを参照してください。

修正済みソフトウェア

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。ソフトウェア更新プログラムを展開する前に、メンテナンスプロバイダーに問い合わせるか、ソフトウェアのフィーチャセットの互換性およびお客様の環境に固有の既知の問題を確認してください。

この脆弱性は、CiscoWorks Common Servicesバージョン4.0で解決されています。

CiscoWorks Common Services 4.0より前のバージョンでは、次のソフトウェアパッチを利用できます。

CiscoWorks Common Services 3.3

- cwcs33-sol-CSCti41352.tar:Oracle Solarisバージョン用

- cwcs33-win-CSCti41352.zip:Microsoft Windowsバージョン用

CiscoWorks Common Services 3.2.x

- cwcs32-sol-CSCti41352-K9.tar:Oracle Solarisバージョン用

- cwcs32-win-CSCti41352-K9.zip:Microsoft Windowsバージョン用

CiscoWorks Common Services 3.1.x

- cwcs31-sol-CSCti41352-K9.tar:Oracle Solarisバージョン用

- cwcs31-win-CSCti41352-K9.zip:Microsoft Windowsバージョン用

CiscoWorks Common Services 3.0.6

- cwcs306-sol-CSCti41352-K9.tar:Oracle Solarisバージョン用

- cwcs306-win-CSCti41352-K9.zip:Microsoft Windowsバージョン用

これらのCiscoWorks Common Servicesパッチは、http://www.cisco.com/cisco/software/navigator.html?mdfid=268439477&i=rpからダウンロードできます。ツリーを移動し、[Routing and Switching Management] > [CiscoWorks LAN Management Solution Products] > [CiscoWorks Common Services Software] > [CiscoWorks Common Services Software <appropriate version>]に移動します。 オペレーティングシステムに応じて、SolarisまたはWindowsを選択します。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、カスタマーサポートコールの処理中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20101027-cs

改訂履歴

リビジョン 1.3

2010年12月1日

新しいパッチ情報を追加。

リビジョン 1.2

2010年11月5日

脆弱性が存在する製品の表を更新。

リビジョン 1.1

2010年10月29日

「修正済みソフトウェアの入手（修正済みソフトウェアを使用しているお客様/使用していないお客様）」セクションと「ソフトウェアバージョンと修正」セクションを更新。

リビジョン 1.0

2010年10月27日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。