Medium

アドバイザリーID : Cisco-SA-20130201-CVE-2013-1114

初公開日 : 2013-02-01 20:04

バージョン 1.0 : Final

CVSSスコア : 5.0

回避策 : No Workarounds available

Cisco バグ ID : CSCud87527

CVE-2013-1114

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Unity Express は非認証を可能にする可能性があるクロスサイト スクリプティング攻撃を行なうために多重 脆弱点がリモート攻撃者含まれています。

脆弱性は Cisco Unity Express ソフトウェアによって処理されるユーザが指定する入力の不十分な sanitization が原因です。 非認証はユーザの影響を受けたソフトウェアに悪意のある要求を入れるように設計されている悪意のあるリンクに従うように確信によって、リモート攻撃者これらの脆弱性を不正利用する可能性があります。 成功すれば、攻撃者はシステムのさらなる攻撃を行なうのに使用できる脆弱なソフトウェアのある特定の不正操作を行う可能性があります。

Cisco はセキュリティ通知の脆弱性を確認しました; ただし、ソフトウェア アップデートは利用できません。

この脆弱性を不正利用するために、攻撃者は、悪意のあるサイトにユーザを誘導するためのリンクを提供したり、誤解させる言葉や指示を使用して、提供されたリンクに進むようにユーザを促す可能性があります。

バージョン 8.0 前の Cisco Unity Express ソフトウェアは NM-CUE、NM-CUE-EC、AIM-CUE、AIM2-CUE-K9 および NME-CUE ハードウエアモジュールでだけサポートされます。 ハードウエアモジュール NM-CUE および NM-CUE-EC はサポートの最後の日に 2011 年 4月 15 日達しました。 ハードウエアモジュール AIM-CUE はソフトウェアメンテナンスの終わりに 2011 年 9月 27 日達しました。 ハードウエアモジュール AIM2-CUE-K9 および NME-CUE はソフトウェアメンテナンスの終わりに 2012 年 12月 1 日達しました。 これらのモジュールを使用している顧客はサポートされた ハードウェア オプションへのアップグレードの支援に関しては Cisco サポート チームに連絡する必要があります。

これらの脆弱性は独立 したセキュリティ評価者のヤコブ Holcomb によって Cisco に報告されました。

該当製品

Cisco は次のリンクでバグID CSCud87527 のためのセキュリティ通知を公開しました: CVE-2013-1114

脆弱性のある製品

8.0 以前の Cisco Unity Express ソフトウェア バージョンは脆弱です。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

回避策

管理者は今後のアップデートおよびリリースに関するベンダーに連絡するように助言されます。

ユーザは Webサイトを参照しないか、または疑わしい特性があったりまたはセーフとして確認することができないリンクに従うように助言されません。

管理者は影響を受けたシステムを監視するように助言されます。

修正済みソフトウェア

アクティブな契約を持つ Cisco カスタマはサポートされた ハードウェア オプションへのアップグレードの支援に関しては Cisco サポート チームに連絡する必要があります。 契約のない Cisco カスタマは支援のための tac@cisco.com に 1-800-553-2447 か 1-408-526-7209 でまたは E メールで Cisco Technical Assistance Center に連絡することができます。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例やその公表を確認していません。

出典

URL

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/Cisco-SA-20130201-CVE-2013-1114

改訂履歴

Version

Description

Section

Status

日付

1.0

初版リリース

該当なし

Final

2013-Feb-01

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。