High

アドバイザリーID : cisco-sa-20110928-xcpcupsxml

初公開日 : 2011-09-28 16:00

最終更新日 : 2012-07-18 14:37

バージョン 1.1 : Final

CVSSスコア : 7.8

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2011-3287

CVE-2011-3288

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

サービス拒否(DoS)の脆弱性は、Jabber Extensible Communications Platform(Jabber XCP)およびCisco Unified Presenceに存在します。認証されていないリモートの攻撃者が、該当サーバに悪意のあるXMLを送信することにより、この脆弱性を不正利用する可能性があります。この脆弱性の不正利用に成功すると、メモリとCPU使用率が上昇し、メモリの枯渇とプロセスのクラッシュを引き起こす可能性があります。この脆弱性が繰り返し悪用されると、DoS 状態が続く可能性があります。

この脆弱性の不正利用を軽減する回避策はありません。

このアドバイザリは、 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110928-xcpcupsxml で公開されています。

該当製品

脆弱性のある製品

次のバージョンのCisco Unified PresenceおよびJabber Extensible Communications Platform(Jabber XCP)は、このアドバイザリに記載されている脆弱性の影響を受けます。JabberNowアプライアンスは、脆弱性のあるバージョンのJabber XCPソフトウェアを実行している場合にも影響を受けます。

Cisco Unified Presence

8.5(4)より前のすべてのバージョンのCisco Unified Presenceは、このアドバイザリに記載されている脆弱性の影響を受けます。

Jabber XCPおよびJabberNowアプライアンス

次のJabber XCPソフトウェアバージョンは、このアドバイザリに記載されている脆弱性の影響を受けます。

バージョン

ビルド

2.X

すべてのビルド

3.X

すべてのビルド

4.X

すべてのビルド

5.0

すべてのビルド

5.1

すべてのビルド

5.2

すべてのビルド

5.4

5.4.0.27581 よりも前

5.8

5.8.1.27561 よりも前

注：これらのソフトウェアバージョンを実行しているJabberNowアプライアンスも、このアドバイザリに記載されている脆弱性の影響を受けます。

Cisco Unified Presenceソフトウェアバージョンの確認

実行中のCisco Unified Presenceソフトウェアのバージョンを確認するには、コマンドラインインターフェイスからshow version activeコマンドを発行します。

次の例は、Cisco Unified Presenceソフトウェアバージョン8.6.0を示しています。

admin: show version active

Active Master Version: 8.6.0.97041-43

Jabber XCPソフトウェアバージョンの確認

Jabber XCPソフトウェアの実行バージョンを確認するには、[JABBER_HOME]/var/cache/xcp_vars.shファイルでJABBER_VERSIONを探します。

次に、Jabber XCPソフトウェアバージョン5.8.1.17421の例を示します。

JABBER_VERSION=5.8.1.17421

脆弱性を含んでいないことが確認された製品

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

Jabber XCPとCisco Unified Presenceは、可用性とインスタントメッセージ(IM)情報の安全な交換を促進する、オープンで拡張可能なプラットフォームを提供します。

Jabber XCP（JabberNowアプライアンスを含む）およびCisco Unified PresenceのXMLパーサーは、Exponential Entity Expansion攻撃に対して脆弱です。この攻撃は、XMLスキーマのルールに従って有効なXMLドキュメントを参照するXML Bombとしても知られており、パーサまたは基盤となるサーバのハングまたはクラッシュの原因となります。この攻撃は、多くのプルーフオブコンセプトの例により、XMLパーサが文字列lolまたはhaを10億回まで、またはサーバリソースが使い果たされるまで拡張する原因になったため、Billion Laughs Attackと呼ばれます。

この攻撃は、XMLの特定のプロパティを組み合わせて、ネストされた置換を極端に使用して、有効だが悪意のあるXMLを作成します。XMLパーサーがネストされたすべてのエンティティを展開しようとすると、すべてのサーバーリソースが急速に使い果たされます。

この手法を使用すると、Cisco Unified PresenceおよびJabber XCP（JabberNowアプライアンスを含む）のXMLパーサーがCPUとメモリの高使用率をトリガーし、プロセスがクラッシュします。この攻撃は、クライアントとサーバの接続と、サーバとサーバ（フェデレーション）のリンクの両方に影響を与えます。

この脆弱性は、次のCisco Bug IDに記載されています。

- CSCtq78106(登録ユーザ専用)

- CSCtq89842(登録ユーザ専用)

- CSCtq88547(登録ユーザ専用)

この脆弱性には、Cisco Bug ID CSCtq78106に対してCommon Vulnerabilities and Exposures(CVE)ID CVE-2011-3287が、Cisco Bug ID CSCtq89842およびCSCtq88547に対してCVE ID CVE-2011-3288が割り当てられています。

回避策

この脆弱性を軽減する回避策はありません。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco Unified Presenceソフトウェアバージョン

First Fixed Release（修正された最初のリリース）

8.5(4)より前のすべてのバージョン

バージョン 8.5(4) にアップグレード。

Jabber XCPソフトウェアバージョン（JabberNowアプライアンスを含む）

First Fixed Release（修正された最初のリリース）

4.Xより前のバージョン

これらのバージョンには脆弱性がありますが、サポートは終了しています。修正済みソフトウェアは提供されません。これらのバージョンのいずれかを使用しているお客様は、サポートされているバージョンに移行することを強く推奨します。

バージョン4.X ～ 5.2

5.4.0.27581、5.8.1.27561以上への移行が必要

バージョン 5.4

5.4.0.27581、5.8.1.27561、またはそれ以降にアップグレードします。

バージョン 5.8

5.8.1.27561以降にアップグレードする

不正利用事例と公式発表

XMLエンティティ拡張攻撃はよく知られていますが、Cisco PSIRTでは、このアドバイザリに記載されているシスコ製品に対する脆弱性の不正利用事例や公表は確認していません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20110928-xcpcupsxml

改訂履歴

リビジョン 1.1

2012年7月18日

アドバイザリメタタグを更新。

リビジョン 1.0

2011年9月28日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。