severity

アドバイザリーID : cisco-sa-20110830-apache

初公開日 : 2011-08-30 16:00

最終更新日 : 2014-11-20 16:35

バージョン 1.9 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Apache HTTPdサーバには、複数の重複する範囲を処理する際のサービス拒否の脆弱性が存在します。複数のシスコ製品がこの脆弱性の影響を受ける可能性があります。

ネットワーク内のシスコデバイスに適用可能な対応策は、このアドバイザリに関連するCisco Applied Intelligenceのドキュメントhttps://sec.cloudapps.cisco.com/security/center/viewAMBAlert.x?alertId=24024で確認できます。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110830-apache で公開されています。

該当製品

シスコでは現在、この脆弱性の影響を受ける可能性のある製品を評価中です。このセキュリティアドバイザリの「脆弱性が存在する製品」または「脆弱性を含んでいないことが確認された製品」のセクションに記載されるのは、脆弱性に関する最終決定が行われた時点です。これら2つのセクションのいずれにも記載されていない製品は、引き続き評価中です。

脆弱性のある製品

このセクションは、より詳細な情報が得られたら更新されます。次の製品がこの脆弱性の影響を受けることが確認されています。

- 5.xより前のCisco MDS 9000 NX-OSソフトウェアリリースが影響を受けます。Cisco MDS 9000 NX-OSソフトウェアリリース5.x以降は影響を受けません。

- Cisco SAN-OS 3.x

- Cisco TelePresence Video Communication Server(Cisco TelePresence VCS)

- すべてのCisco CTS TelePresenceシステム

- Cisco Video Surveillance Manager(VSM)

- Cisco Video Surveillance Operations Manager(VSOM)

- Management Center for Cisco Security Agent。Cisco Security Agent（クライアントソフトウェア）は影響を受けません。

- Cisco Wireless Control System（WCS）

- Cisco Wide Area Application Services（WAAS）ソフトウェア

- Cisco Quad

- Ciscoネットワークコレクタ

- ソフトウェアバージョン4.2(1)SV1(5.1)以降を実行しているCisco Nexus 1000vシリーズ

- Cisco Mobility Services Engine

- CiscoWorks Common Services

- CiscoWorks LAN Management Solution

脆弱性を含んでいないことが確認された製品

次の製品には脆弱性が存在しないことが確認されています。

- Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンス

- Cisco Catalyst 6500シリーズASAサービスモジュール

- Cisco Catalyst 6500 シリーズ ファイアウォール サービス モジュール

- Cisco Fabric Manager

- Cisco Identity Services Engine

- Cisco Intercompany Media Engine

- Cisco IOS ソフトウェア

- Cisco IOS XE ソフトウェア

- Cisco IOS XR ソフトウェア

- Cisco IP Interoperability and Collaboration System (IPICS)

- Cisco IPSソフトウェア

- Cisco Unified IP Phone

- Cisco MDS 9000 NX-OSソフトウェアリリース5.x以降（以前のバージョンが該当）

- Cisco Nexus 7000シリーズ（テストと検証の結果、Nexus 7000上のCisco NX-OSはこの脆弱性の影響を受けないことが判明しました）

- Cisco Nexus 4000 シリーズ

- Cisco Nexus 3000 シリーズ

- Cisco Nexus 5000 シリーズ

- 4.2(1)SV1(5.1)より前のソフトウェアバージョンを実行しているCisco Nexus 1000vシリーズ

- Cisco Prime Central

- Cisco Prime Optical

- Cisco Prime Performance Manager

- Cisco Secure Access Control System（ACS）

- Cisco TelePresence Server

- Cisco Unified Communications Manager（旧称Cisco CallManager）

- Cisco Unity

- Cisco Unity Connection

- Cisco Wireless LAN Controller（WLC）

- Cisco Wireless Location Appliance

- CiscoWorks Wireless LAN Solution Engine（WLSE）

- Cisco Prime Network Control System(NCS)

- Cisco Detector XT DDoS軽減アプライアンス

- Cisco Guard XT DDoS軽減対策アプライアンス

- Cisco Tidal Enterprise Orchestrator

このセクションは、より詳細な情報が得られたら更新されます。

詳細

Apache HTTPdサーバには、複数の重複する範囲を処理する際のサービス拒否の脆弱性が存在します。複数のシスコ製品がこの脆弱性の影響を受ける可能性があります。

次のCisco Bug IDは、この脆弱性の潜在的な発症を追跡するために使用されています。次のCisco Bug IDでは、製品に脆弱性が存在するかどうかは確認されません。むしろ、製品が適切な製品チームによって調査中であることがCisco Bug IDで示されています。

シスコ製品

Cisco Bug ID

Cisco ACE 4710アプライアンス

CSCts35635

Cisco ACE アプリケーション コントロール エンジン モジュール

CSCts35610

Cisco ACE GSS 4400シリーズグローバルサイトセレクタ(GSS)

CSCts33313

Cisco ACE XML Gateway

CSCts33321

Cisco Active Network Abstraction

CSCts33317

Cisco ASA 5500 シリーズ適応型セキュリティ アプライアンス

CSCts33180

Cisco CNS Network Registrar

CSCts36064

Cisco Conductor for Videoscape

CSCts32986

Cisco Content Delivery Engine

CSCts36206

Cisco Content Delivery System Internet Streamer

CSCts35643

Cisco Detector XT DDoS軽減アプライアンス

CSCts33211

Cisco Guard XT DDoS軽減対策アプライアンス

CSCts33210

Cisco Healthpresence

CSCts36069

Cisco Identity Services Engine

CSCts33092

Cisco IP Interoperability and Collaboration System

CSCts33206

Cisco IP フォン

CSCts33264

Cisco IPSソフトウェア

CSCts33199

Cisco MDS 9000 SANデバイス管理

CSCts33220

Cisco MDS 9000 Series Multilayer Switches

CSCts33294

Cisco NAC Manager

CSCts32965

Cisco NAC Profiler

CSCts33267

Cisco NAC Server

CSCts32976

Cisco NAC Guest Server

CSCts41870

Cisco Network Analysis Module

CSCts33320

Ciscoネットワークコレクタ

CSCts72493

Cisco Networking Services(CNS)ソフトウェア

CSCts33279

ソフトウェアバージョン4.2(1)SV1(5.1)以降を実行しているCisco Nexus 1000vシリーズ

CSCug41608

Cisco Nexus 5000 Series Switches

CSCts35605

Cisco Nexus 7000 Series Switches

CSCts35665

Cisco OnPlusネットワークの管理と自動化

CSCts33287

Cisco Prime Central

CSCts33004

Cisco Prime Network Control System

CSCts33114

Cisco Prime Performance Manager

CSCts36072

Cisco Quadコラボレーション

CSCts36158

Cisco Secure Access Control System

CSCts33196

Cisco Security Manager

CSCts33056

Cisco Service Exchangeフレームワーク

CSCts33218

Cisco Signaling Gateway Manager

CSCts33248

Cisco Small Businessネットワークストレージシステム

CSCts33288

Cisco SSC System Manager

CSCts36187

Cisco TelePresence Manager

CSCts33310

Cisco TelePresence Multipoint Switch

CSCts33224

Cisco TelePresence Server

CSCts33230

Cisco CTS 500-32 Telepresence Systemシリーズ

CSCts35874

Cisco CTS 500-32 TelePresence Systemシリーズを除くすべてのCisco CTS TelePresenceシステム

CSCts33276

Cisco Telepresence System Integrator Cシリーズ

CSCts35860

Cisco UCS Bシリーズブレードサーバ

CSCts33291

Cisco Unified Communications Manager

CSCts32992

Cisco Unified Communications System Voice and Unified Communications(VOSS)

CSCts33271

Cisco Unified MeetingPlace

CSCts33169

Cisco Unified Operations Manager

CSCts33273

Cisco Unified Presence Server

CSCts33257

Cisco Unified Service Monitor

CSCts35893

Cisco Unified Service Statistics Manager

CSCts36074

Cisco Unity

CSCts33302

Cisco Unity Connection

CSCts33260

Cisco Video Surveillance Manager

CSCts33173

Cisco Video Surveillance Operations Manager

CSCts33178

Cisco Virtual Network Management

CSCts36207

Cisco Voice Manager(CVM)

CSCts36152

Cisco Wide Area Application Services（WAAS）ソフトウェア

CSCts33254

Cisco Wireless Control System（WCS）

CSCts33325

Cisco Wireless Control System Navigator

CSCts33052

Cisco Wireless LAN Controller（WLC）

CSCts33327

CiscoWorks Common Services

CSCts33049

CiscoWorks LAN Management Solution（LMS）

CSCts35837

Cisco Digital Media Suite製品

CSCts33189

Management Center for Cisco Security Agents

CSCts33208

Service Exchange Framework

CSCts36185

Cisco Shared Network Management and Automation

CSCts33476

この脆弱性には、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2011-3192が割り当てられています。

回避策

ネットワーク内のシスコデバイスに適用可能な対応策については、このアドバイザリに関連するCisco Applied Intelligenceのドキュメント https://sec.cloudapps.cisco.com/security/center/viewAMBAlert.x?alertId=24024を参照してください。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

製品

第 1 修正済みリリース

Cisco MDS 9000 NX-OSソフトウェア

5.xより前のリリースが影響を受けます。リリース5.x以降は影響を受けません。5.x以降に移行します。

Cisco Nexus 1000vシリーズ

4.2(1)SV1(5.1)より前のリリースは影響を受けません。5.2(1)SV3(1.1)以降への移行が必要

Cisco TelePresence Video Communication Server

X7.0.2

Cisco CTS 500-32 Telepresence Systemシリーズ

1.8.0

Cisco Video Surveillance Manager(VSM)

7.0(0.105) 以降

Cisco Video Surveillance Operations Manager(VSOM)

7.0(0.105) 以降

Management Center for Cisco Security Agent

5.0リリースでは5.2(0.312)

6.0リリースでは6.0(2.151)

Cisco Wireless Control System（WCS）

7.0.220.0

Cisco Quad

2.5(1)

Ciscoネットワークコレクタ

6.3.2

Cisco Wide Area Application Services（WAAS）ソフトウェア

4.4.3(a)

このセクションは、より詳細な情報が得られたら更新されます。

不正利用事例と公式発表

この脆弱性は、最初に次のリンクのFull Disclosureメーリングリストに報告されました。http://seclists.org/fulldisclosure/2011/Aug/175

Apacheは、この脆弱性の不正利用を認識していることを確認しました。シスコでは、特にシスコ製品に関連するこの脆弱性の悪意のあるエクスプロイトを認識していません。

この脆弱性のプルーフオブコンセプトコードが利用可能です。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110830-apache

改訂履歴

Revision 1.9

2014年11月20日

Video Communication Serverの修正情報：修正済みリリースはX7.0.1ではなくX7.0.2です。

Revision 1.8

2014年10月28日

該当するNexus 1000を追加。最初の修正済みリリース情報を更新。

Revision 1.7

2012年1月23日

「ソフトウェアバージョンと修正」セクションを更新。

改訂
1.6

2011年9月13日

「脆弱性を含んでいないことが確認された製品」セクションを更新。

改訂
1.5

2011年9月8日

「脆弱性が存在する製品とソフトウェアバージョンおよび修正」セクションを更新。

改訂
1.4

2011年9月6日

「脆弱性が存在する製品とソフトウェアバージョンおよび修正」セクションを更新。

改訂
1.3

2011年9月2日

「脆弱性が存在する製品とソフトウェアバージョンおよび修正」セクションを更新。「脆弱性のある製品」セクションにCisco Network Collectorを追加。

改訂
1.2

2011年9月1日

「脆弱性が存在する製品」セクションにCisco Quadを追加し、「ソフトウェアバージョンと修正」セクションを改訂。

改訂
1.1

2011年8月31日

「脆弱性が存在する製品」、「脆弱性を含んでいないことが確認された製品」、「詳細」の各セクションを、脆弱性が存在する製品と影響を受けない製品に関する追加情報とともに更新。

改訂
1.0

2011年8月30日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。