Medium

アドバイザリーID : Cisco-SA-20110427-CVE-2011-1610

初公開日 : 2011-04-27 15:10

最終更新日 : 2012-07-14 13:02

バージョン 2.0 : Final

CVSSスコア : 6.4

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2011-1610

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Unified Communications Manager は非認証を可能にする可能性がある脆弱なシステムの SQL インジェクションを行なうために脆弱性がリモート攻撃者含まれています。

脆弱性はユーザが指定する入力の不十分なチェックによる JavaServer ページ（JSP）スクリプトにあります。  非認証は脆弱なスクリプトに悪意のある SQL コマンドが含まれている巧妙に細工されたパラメータを入れることによって、リモート攻撃者この脆弱性を不正利用する可能性があります。  これらのパラメータの処理は攻撃者が根本的なデータベースの機密情報の修正の原因となる可能性がある任意 SQL コマンドを実行することを可能にする可能性があります。

Cisco はこの脆弱性を確認し、更新済ソフトウェアをリリースしました。

脆弱性を不正利用するために、攻撃者は Cisco Unified Communications Manager にアクセスし、脆弱なシステムの SQL コマンドをインジェクトできる必要があります。  ネットワークコンフィギュレーションによっては、攻撃者は必要とします内部ネットワークへのアクセスをかもしれないです。  アクセス要件はエクスプロイトの問題を高める可能性があります。

Cisco は CVSS スコアを通してその機能エクスプロイト コード存在を示します; ただし、コードは共用利用可能であると知られていません。

該当製品

Cisco は次のリンクで Ciscoバグ IDÂ CSCtj42064 のための Security Advisory をリリースしました: Â cisco-sa-20110427-cucm

脆弱性のある製品

6.1(5)su2、7.1(5)su4、8.0(3a)su2 および 8.5(1)su1 以前の Cisco Unified Communications Manager バージョンは脆弱です。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

回避策

管理者は適切な更新を加えるように助言されます。

管理者は信頼された システムだけ影響を受けたシステムにアクセスするように IPベース アクセス コントロール リスト（ACL）を使用することを考えるかもしれません。

管理者はこの脆弱性を不正利用するように試みる不正侵入を検出し、防ぐのを助けるように侵入防御システム（IPS）か intrusion detection system （IDS）を設定するために助言されます。

管理者は影響を受けたシステムを監視するように助言されます。

Cisco によって加えられる知性チームは識別を管理者に指示するために次のドキュメントガイドを作成し、軽減は更新済ソフトウェアを加える前にこの脆弱性を不正利用するように試みます: cisco-amb-20110427-cucm Â

修正済みソフトウェア

アクティブな契約を持つ Cisco カスタマは次のリンクで Software Center を通して更新を入手できます: Cisco。 契約のない Cisco カスタマは 1-800-553-2447 か 1-408-526-7209 でまたは tac@cisco.com で E メールで Cisco Technical Assistance Center にコンタクトをとってアップグレードを入手できます。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例やその公表を確認していません。

出典

URL

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/Cisco-SA-20110427-CVE-2011-1610

改訂履歴

Version

Description

Section

Status

日付

1.0

初版リリース

該当なし

Final

2011-Apr-27

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。