severity

アドバイザリーID : cisco-sa-20110824-cucm-cups

初公開日 : 2011-08-24 16:00

最終更新日 : 2011-08-26 22:00

バージョン 1.1 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Unified Communications Manager（旧称Cisco CallManager）およびCisco Unified Presence Serverにはオープンクエリーインターフェイスが備わっており、認証されていないリモートの攻撃者が該当する製品バージョンの基盤となるデータベースの内容を開示する可能性があります。

シスコでは、サポート対象のリリースのほとんどについて、無償でアップデートされたソフトウェアをリリースしています。この問題を修正するサポート対象のすべてのバージョンに対して、セキュリティパッチファイルも使用できます。このパッチは、リロードを必要とせずに、アクティブなシステムに適用できます。お客様には、修正済みバージョンを適用するか、修正済みトレインにアップグレードすることを推奨します。更新されたソフトウェアが現在利用できないバージョンを使用する必要がある場合、または更新をすぐに適用できない場合は、パッチを適用することをお勧めします。

この問題に対する回避策はありません。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110824-cucm-cups で公開されています。

該当製品

次の製品は、このアドバイザリに記載された脆弱性の影響を受けます。

脆弱性のある製品

Cisco Unified Communications Manager

- Cisco Unified Communications Manager 6.x

- Cisco Unified Communications Manager 7.x

- Cisco Unified Communications Manager 8.0

- Cisco Unified Communications Manager 8.5

注：Cisco Unified Communications Managerバージョン5.1は、2010年2月13日にソフトウェアメンテナンスが終了しています。Cisco Unified Communications Manager 5.xバージョンをご使用のお客様は、サポートされているCisco Unified Communications Managerのバージョンへのアップグレードに関してシスコサポートチームにお問い合わせください。

Cisco Unified Presence Server

- Cisco Unified Presence Server 6.x

- Cisco Unified Presence Server 7.x

- Cisco Unified Presence Server 8.0

- Cisco Unified Presence Server 8.5

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

次の製品は、この脆弱性の影響を受けません。

- Cisco Unified Communications Manager 4.x

- Cisco Unified Communications Manager 8.6(1x)

- Cisco Unified Presence Server 8.6(1x)

- Cisco Unity Connection

- Cisco Emergency Responder

- Cisco Unified Communications Manager Business Edition 3000

- Cisco Unified Communications Manager Business Edition 5000

- Cisco Unified Communications Manager Business Edition 6000

この脆弱性に該当するその他の Cisco 製品は現在のところ見つかっていません。

詳細

Cisco Unified Communications Managerは、Cisco IP Telephonyソリューションの呼処理コンポーネントであり、企業のテレフォニー機能を、IP電話、メディア処理デバイス、VoIPゲートウェイ、マルチメディアアプリケーションなどのパケットテレフォニーネットワークデバイスに拡張します。

Cisco Unified Presence Serverは、組織の内外で人々を結び付ける標準ベースのエンタープライズプラットフォームです。このオープンで拡張性の高いプラットフォームにより、Cisco Unified Communications Managerと他のアプリケーションとの間で、可用性とインスタントメッセージ(IM)情報の安全な交換が容易になります。

クエリーインターフェイスを開く

Cisco Unified Communications ManagerおよびCisco Unified Presence Serverにはオープンクエリーインターフェイスが含まれており、認証されていないリモートの攻撃者が基盤となるデータベースに含まれるデータの一部またはすべてを開示できる可能性があります。このデータには、認証クレデンシャル、設定の詳細、およびその他の機密情報が含まれる場合があります。

この問題を不正利用するには、攻撃者はTCPポート443または8443経由で該当デバイスへのSSL接続を開く必要があります。この脆弱性を不正利用するには、完了した3ウェイTCPハンドシェイクが必要です。

この脆弱性には、CVE 識別子 CVE-2011-1643 が割り当てられています。この脆弱性は、次のCisco Bug IDに記載されています。

- Cisco Unified Communications Manager:CSCti81574 (登録ユーザ専用)

- Cisco Unified Communications Manager:CSCto63060 (登録ユーザ専用)

- Cisco Unified Communications Manager:CSCto72183 (登録ユーザ専用)

Cisco Unified Presence Server: CSCto73833 ( 登録ユーザ専用)

回避策

この問題に対する既知の回避策はありません。

ネットワーク内のシスコデバイスに適用可能な他の対応策は、このアドバイザリに関連するCisco Applied Intelligenceのドキュメントで参照できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20110824-cucm-cups

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco Unified Communications Managerのバージョン

First Fixed Release（修正された最初のリリース）

6.x

COPファイルの適用

7.x

7.1(5b)su4または

COPファイルの適用

8.0

COPファイルの適用

8.5

8.5(1)su2または

COPファイルの適用

8.6

Not affected

注：Cisco Unified Communications Manager Security COPファイルは、Cisco Software Centerからダウンロードできます。

Cisco Unified Presence Server

First Fixed Release（修正された最初のリリース）

6.x

8.5(4)以降または8.6(x)への移行

7.x

COPファイルの適用または8.5(4)以降または8.6(x)への移行

8.0

COPファイルの適用または8.5(4)以降または8.6(x)への移行

8.5

8.5(4)

8.6

Not affected

注：Security COPファイル形式のCisco Unified Presence Serverのパッチは、現在公開されている修正バージョンがないバージョンに対してはTACから入手できます。

不正利用事例と公式発表

Cisco PSIRTでは、このアドバイザリに記載されている脆弱性のエクスプロイト方法を確認していません。

この脆弱性はkxlzxによってシスコに報告されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110824-cucm-cups

改訂履歴

リビジョン 1.1

2011年8月26日

説明のために、バージョン名を8.5xnrから8.5(4)に更新。

リビジョン 1.0

2011年8月24日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。