Critical

アドバイザリーID : cisco-sa-20111019-cs

初公開日 : 2011-10-19 16:00

バージョン 1.0 : Final

CVSSスコア : 9.0

回避策 : No Workarounds available

Cisco バグ ID : CSCtt25535 CSCtq64019 CSCtq48990 CSCtq63992 CSCtq64011 CSCtr23090

CVE-2011-3310

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

CiscoWorks Common Services for Microsoft Windowsには、認証されたリモートの攻撃者がシステム管理者の権限を使用して該当システムで任意のコマンドを実行できる可能性がある脆弱性が存在します。

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。

この脆弱性を軽減する回避策はありません。

このアドバイザリは、 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20111019-cs で公開されています。

注：2011年10月18日より、シスコはCisco PSIRTが公開する最新のCisco Security Advisories and Responsesのリストを移行しました。新しい場所は https://sec.cloudapps.cisco.com/security/center/publicationListingです。また、Cisco Security(SIO)ポータルの[Cisco Products and Services]メニューからこのページに移動することもできます。この移行に伴い、新しいCisco Security Advisory and Responsesが新しい場所に公開されます。URLは変更されていますが、セキュリティドキュメントの内容と脆弱性ポリシーは影響を受けません。シスコは、公開されている セキュリティ脆弱性ポリシーに従って、引き続きセキュリティ脆弱性を開示します。

該当製品

脆弱性のある製品

この脆弱性は、Microsoft Windows上で動作するCiscoWorks Common Servicesベースの製品のすべてのバージョンに影響します

Common Servicesバージョン4.1以降はこの脆弱性の影響を受けません。

デフォルトのCommon Servicesがインストールされている次のCiscoWorks製品は、基盤となるCommon Servicesのバージョンが原因で、この脆弱性の影響を受けます。

- CiscoWorks LAN Management Solution

LAN管理ソリューションのバージョン

Common Servicesバージョン

Microsoft Windowsの3.2より前

各種

Microsoft Windows上の3.2

3.3

3.2.1(Microsoft Windows)

3.3.1

Microsoft Windows上の4.0

4.0

Microsoft Windows上の4.0.1

4.0.1

注：3.2より前のバージョンのCiscoWorks LAN Management Solutionは、ソフトウェアメンテナンスが終了しています。サポートされているバージョンのCiscoWorks LAN Management Solutionへのアップグレードについては、お客様からシスコのサポートチームにお問い合わせください。

- Cisco Security Manager

セキュリティマネージャバージョン

Common Servicesバージョン

3.2

各種

3.2、3.2 SP1、3.2 SP2

3.1

3.2.1、3.2.1 SP1

3.1.1

3.2.2、3.2.2 SP1、3.2.2 SP2、3.2.2 SP3、3.2.2 SP4

3.2

3.3、3.3 SP1、3.3 SP2

3.2

3.3.1、3.3.1 SP1、3.3.1 SP2、3.3.1 SP3

3.2

4.0、4.0 SP1

3.3

4.0.1、4.0.1 SP1

3.3

4.1

3.3

注：3.2より前のバージョンのCisco Security Managerは、ソフトウェアメンテナンスが終了しています。サポートされているバージョンのCisco Security Managerへのアップグレードについては、お客様からシスコのサポートチームにお問い合わせください。

- Cisco Unified Operations Manager

Unified Operations Managerのバージョン

Common Servicesバージョン

2.3 より前

各種

2.3

3.2

8.0

4.0

8.5

4.0

注：2.3より前のバージョンのCisco Unified Operations Managerは、ソフトウェアメンテナンスが終了しています。サポートされているバージョンのCisco Unified Operations Managerへのアップグレードについては、お客様からシスコのサポートチームにお問い合わせください。

- Cisco Unified Service Monitor

Unified Operations Monitorのバージョン

Common Servicesバージョン

2.2 より前

各種

2.2

3.2

2.3

3.2

8.0

4.0

8.5

4.0

注：2.2より前のバージョンのCisco Unified Service Monitorは、ソフトウェアメンテナンスが終了しています。サポートされているバージョンのCisco Unified Service Monitorへのアップグレードについては、シスコサポートチームにお問い合わせください。

- CiscoWorks Quality of Service Policy Manager

Quality of Service Policy Managerのバージョン

Common Servicesバージョン

Microsoft Windowsの4.1より前

各種

Microsoft Windowsでは4.1.1、4.1.2、4.1.3、4.1.4、4.1.5、4.1.6

3.2

注：4.1より前のバージョンのCiscoWorks Quality of Service(QoS)Policy Managerは、ソフトウェアメンテナンスが終了しています。サポートされているバージョンのCiscoWorks QoS Policy Managerへのアップグレードについては、お客様からシスコのサポートチームにお問い合わせください。

- CiscoWorks Voice Manager

Voice Managerのバージョン

Common Servicesバージョン

Microsoft Windowsの3.0より前

各種

Microsoft Windows上の3.0

3.0.2

Microsoft Windows上の3.1

3.0.2

Microsoft Windows上の3.2

3.3

注：3.0より前のバージョンのCiscoWorks Voice Managerは、ソフトウェアメンテナンスが終了しています。サポートされているバージョンのCiscoWorks Voice Managerへのアップグレードについては、お客様からシスコのサポートチームにお問い合わせください。

脆弱性を含んでいないことが確認された製品

Solaris上で動作するCiscoWorks Common Servicesベースの製品のすべてのバージョンは、この脆弱性の影響を受けません。

CiscoWorks Common Servicesバージョン4.1以降はこの脆弱性の影響を受けません。

次の製品も脆弱性が存在しないことが確認されています。

- Cisco Prime LAN Management Solutionバージョン4.1以降

- Cisco Security Managerバージョン4.2以降

- Cisco Unified Operations Manager 8.6以降

- Cisco Unified Service Monitor 8.6以降

- Solaris上で動作するCiscoWorks LAN Management Solutionのすべてのバージョン

- Solarisで動作するCiscoWorks QoS Policy Managerの任意のバージョン

- Solarisで動作するCiscoWorks Voice Managerの任意のバージョン

他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。

詳細

CiscoWorks Common Servicesは、CiscoWorksソリューションセット内のネットワーク管理アプリケーションによって共有される一連の管理サービスです。

CiscoWorks Common Servicesは、CiscoWorksアプリケーションがデータストレージ、ログイン、ユーザロール定義、アクセス権限、セキュリティプロトコル、およびナビゲーションの共通モデルを共有するための基盤を提供します。すべての管理機能で標準のユーザエクスペリエンスを実現します。また、インストール、データ管理（バックアップのリストアとインポートとエクスポートを含む）、イベントとメッセージの処理、ジョブとプロセスの管理、ソフトウェアの更新など、すべての基本的なシステム・レベルの操作に共通のフレームワークを提供します。

CiscoWorks Common Services for Microsoft Windowsには、認証されたリモートの攻撃者がシステム管理者の権限を使用して該当システムで任意のコマンドを実行できる可能性がある脆弱性が存在します。

この脆弱性は、CiscoWorksホームページのコンポーネントの入力検証が不適切なことに起因します。攻撃者は、巧妙に細工されたURLを該当システムに送信することで、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者はシステム管理者の権限を使用して、該当システムで任意のコマンドを実行できる可能性があります。

この脆弱性の影響を受けるのは、Microsoft Windows上でのみ実行されているCiscoWorks Common Servicesです。

この脆弱性は、デフォルトの管理ポート（TCPポート1741または443）で不正利用される可能性があります。

注：サーバでは、デフォルトの管理ポートを再設定できます。

この脆弱性は、Common ServicesおよびCiscoWorks LAN Management Solutionに関するCisco Bug ID CSCtq4890(登録ユーザ専用)、Cisco Security Managerに関するCSCtq63992(登録ユーザ専用)、Cisco Unified Service Monitorに関するCSCtq64011(登録ユーザ専用)に記述されていますユーザ専用)Cisco Unified Operations Managerの場合、CSCtr23090（登録ユーザ専用）、CiscoWorksÂ QoS Policy Managerの場合、CSCtt25535（登録ユーザ専用）。

この脆弱性には、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2011-3310が割り当てられています。

回避策

この脆弱性に対する回避策はありません。

修正済みソフトウェア

シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。ソフトウェア更新プログラムを展開する前に、メンテナンスプロバイダーに問い合わせるか、ソフトウェアのフィーチャセットの互換性およびお客様の環境に固有の既知の問題を確認してください。

この脆弱性は、Common Servicesバージョン4.1で解決されています。

次の表に、影響を受ける各製品とバージョンの修復を示します。

- CiscoWorks LAN Management Solution

LMSバージョン

修復

場所

3.2

cwcs33-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/type.html?mdfid=282641053&flowid=5150

3.2.1

cwcs331-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/type.html?mdfid=282641053&flowid=5150

4.0

LMS40-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/type.html?mdfid=283434800&flowid=19062

4.0.1

LMS401-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/type.html?mdfid=283434800&flowid=19062

- Cisco Security Manager

CSMバージョン

修復

場所

3.2. 3.2 SP1、3.2 SP2

3.3.1 SP4へのアップグレード

-

3.2.1、3.2.1 SP1

3.3.1 SP4へのアップグレード

-

3.2.2、3.2.2 SP1、3.2.2 SP2、3.2.2 SP3、3.2.2 SP4

3.3.1 SP4へのアップグレード

-

3.3、3.3 SP1、3.3 SP2

3.3.1 SP4へのアップグレード

-

3.3.1、3.3.1 SP1、3.3.1 SP2、3.3.1 SP3

3.3.1 SP4

http://www.cisco.com/cisco/software/type.html?mdfid=280033778

4.0、4.0 SP1

4.0.1 SP2へのアップグレード

-

4.0.1、4.0.1 SP1

4.0.1 SP2

http://www.cisco.com/cisco/software/type.html?mdfid=280033778

4.1

4.1 SP1

http://www.cisco.com/cisco/software/type.html?mdfid=280033778

- Cisco Unified Operations Manager

CUOMバージョン

修復

場所

2.2

cwcs32-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/type.html?mdfid=282214601&flowid=5149

2.3

cwcs32-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/type.html?mdfid=282214601&flowid=5149

8.0

CUOM8.0-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/release.html?mdfid=283112898&flowid=20421&softwareid=282790483

8.5

CUOM8.5-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/release.html?mdfid=283749793&flowid=24321&softwareid=282790483

- Cisco Unified Service Monitor

CUSMバージョン

修復

場所

2.2

cwcs32-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/type.html?mdfid=282214601&flowid=5149

2.3

cwcs32-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/type.html?mdfid=282214601&flowid=5149

8.0

CUSM8.0-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/release.html?mdfid=283315738&flowid=20461&softwareid=282773198

8.5

CUSM8.5-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/release.html?mdfid=283749795&flowid=24323&softwareid=282801893

- CiscoWorks QoS Policy Manager

QPMバージョン

修復

場所

4.1.1、4.1.2、4.1.3、4.1.4、4.1.5、4.1.6

cwcs32-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/type.html?mdfid=282214601&flowid=5149

- CiscoWorks Voice Manager

CWVMバージョン

修復

場所

3.0 と 3.1

3.2にアップグレードし、パッチを適用します。

-

3.2

cwcs33-win-Oct2011-su1-0.zip

http://www.cisco.com/cisco/software/type.html?mdfid=282641053&flowid=5150

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、Beyond SecurityのNoam Rathaus氏からシスコに報告されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20111019-cs

改訂履歴

リビジョン 1.0

2011年10月19日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。