Critical

アドバイザリーID : cisco-sa-20130410-mp

初公開日 : 2013-04-10 16:00

バージョン 1.0 : Final

CVSSスコア : 9.3

回避策 : No Workarounds available

Cisco バグ ID : CSCuc64885 CSCuc64846

CVE-2013-1169

CVE-2013-1168

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Unified MeetingPlace Application Serverには認証バイパスの脆弱性が存在し、Cisco Unified MeetingPlace Web Conferencing Serverには任意のログインの脆弱性が存在します。どちらの脆弱性でも、不正利用に成功する と、認証されていないリモートの攻撃者が正規のユーザになりすまして、そのユーザの特権を使用して該当システムに任意のコマンドを送信する可能性があります。

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。Cisco Unified MeetingPlace Web Conferencing Serverの任意のログインに関する脆弱性に対しては、回避策があります。このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130410-mp

該当製品

脆弱性のある製品

次のバージョンのCisco Unified MeetingPlace Application Serverソフトウェアは、Cisco Unified MeetingPlace Application Serverの認証バイパスの脆弱性の影響を受けます。

Cisco Unified MeetingPlace Application Serverバージョン

該当

7.0

No

7.0

Yes

7.1

Yes

8.0

Yes

8.5

Yes

Cisco Unified MeetingPlace Application Serverは、Cisco Unified MeetingPlace Web Conferencing Serverの任意のログインの脆弱性の影響を受けません。

次のバージョンのCisco Unified MeetingPlace Web Conferencing Serverソフトウェアは、Cisco Unified MeetingPlace Web Conferencing Serverの任意のログインに関する脆弱性の影響を受けます。

Cisco Unified MeetingPlace Web Conferencingサーバのバージョン

該当

7.0

No

7.0

Yes

7.1

Yes

8.0

Yes

8.5

Yes

Cisco Unified MeetingPlace Web Conferencing Serverは、 Remember Me認証オプションが有効になっている場合のみ、この脆弱性の影響を受けます。このオプションが有効になっているかどうかを確認するには、[Home] > [Administration] > [Web Server] に移動します。[Web Server Customization Values]セクションの[Allow Remember Me] の値が[Yes] に設定されている場合、[Remember Me] オプションが有効になり、システムは脆弱になります。

Remember Me認証オプションはデフォルトで有効になっています。

Cisco Unified MeetingPlace Web Conferencing Serverは、Cisco Unified MeetingPlaceアプリケーションサーバの認証バイパスの脆弱性の影響を受けません。

注：7 .0より前のバージョンのCisco Unified MeetingPlace Application ServerおよびCisco Unified MeetingPlace Web Conferencing Serverソフトウェアは、ソフトウェアメンテナンスが終了しています。7.0より前のバージョンを実行するデバイスを使用しているお客様は、サポート対象バージョンへのアップグレードに関してシスコサポートチームにお問い合わせください。

Cisco Unified MeetingPlace Expressの情報

Cisco Unified MeetingPlace Expressは、Cisco Unified MeetingPlaceアプリケーションサーバの認証バイパスの脆弱性の影響を受けます。

Cisco Unified MeetingPlace Expressはソフトウェアメンテナンスが終了しました。お客様は、シスコのサポートチームに連絡して、利用可能な交換品を入手する必要があります。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

Cisco Unified MeetingPlaceは、音声、ビデオ、およびWebの統合された会議を組織がホストできるようにするオンプレミスの会議ソリューションです。このソリューションは、組織のプライベート音声/データネットワークおよびエンタープライズアプリケーションに直接統合されます。Cisco Unified MeetingPlaceサーバは、インターネットからサーバにアクセスできるように導入できるため、外部のユーザが会議に参加できます。

Cisco Unified MeetingPlace Application Serverは、Cisco Unified MeetingPlaceソリューションの中核であり、音声およびビデオサービスと、ソリューションの他のコンポーネントに対する一般的なサポートを提供します。 Cisco Unified MeetingPlace Web Conferencing Serverは、Cisco Unified MeetingPlaceソリューションのコンポーネントで、ユーザは会議を管理したり、アプリケーションやプレゼンテーションを共有したりすることができます。

Cisco Unified MeetingPlaceアプリケーションサーバの認証バイパスの脆弱性

Cisco Unified MeetingPlace Application ServerのWebサーバコンポーネントの認証コードにおける脆弱性により、認証されていないリモートの攻撃者が、該当システムからユーザがログアウトした後にユーザセッションを引き継ぐ可能性があります。

この脆弱性は、ユーザのログアウト時に該当システムがユーザのセッションを無効にしないことに起因します。攻撃者は、HTTP GETまたはPOST要求を巧妙に細工して該当システムに送信することにより、この脆弱性を不正利用する可能性があります。成功するには、攻撃者は以前にログアウトしたユーザのセッションCookie値を知っている必要があります。Cisco Unified MeetingPlace Application Serverは、30分後にセッションCookieを自動的に無効にします。したがって、攻撃者は30分で攻撃を実行できます。  この不正利用により、攻撃者は正当なユーザになりすまして、該当システムの機密性、完全性、および可用性を、そのユーザの権限で侵害する可能性があります。

この脆弱性は、Cisco Bug ID CSCuc64885(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2013-1168が割り当てられています。

Cisco Unified MeetingPlace Web Conferencingサーバにおける任意のログインに関する脆弱性

Cisco Unified MeetingPlace Web Conferencing Serverの認証コードにおける脆弱性により、認証されていないリモートの攻撃者が正当なユーザになりすまし、該当システムに任意のコマンドを発行する可能性があります。

この脆弱性は、該当システムでRemember Meオプションが設定されている場合に、ユーザCookieの検証が不十分であることに起因します。攻撃者は、ログイン要求を作成して該当システムに送信することで、この脆弱性を不正利用する可能性があります。攻撃者が攻撃を実行するには、有効なユーザ名を知っている必要があります。この不正利用により、攻撃者は正当なユーザになりすまして、該当システムの機密性、完全性、および可用性を、そのユーザの権限で侵害する可能性があります。

注：この脆弱性の影響を受けるのは、[Remember Me] オプションが設定されているCisco Unified MeetingPlace Web Conferencingサーバだけです。Microsoft Outlook Integrationは、認証サービスにCisco Unified MeetingPlace Application Serverを使用しており、この脆弱性の影響を受けません。

この脆弱性は、Cisco Bug ID CSCuc64846(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2013-1169が割り当てられています。

回避策

Cisco Unified MeetingPlaceアプリケーションサーバの認証バイパスの脆弱性を軽減する回避策はありません。

Remember Me認証オプションを無効にすると、Cisco Unified MeetingPlace Web Conferencingサーバの任意のログインに関する脆弱性が軽減されます。

[Remember Me] 認証オプションを無効にするには、[Home] > [Administration] > [Web Server] に移動し、[Web Server Customization Values]セクションで[Allow Remember Me] の値を[No] に設定します。

修正済みソフトウェア

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。

Cisco Unified MeetingPlaceアプリケーションサーバの認証バイパスの脆弱性

次の表に、Cisco Unified MeetingPlaceアプリケーションサーバの認証バイパスの脆弱性を修正するCisco Unified MeetingPlaceアプリケーションサーバソフトウェアリリースに関する情報を示します。

Cisco Unified MeetingPlace Application Serverメジャーリリース

Cisco Unified MeetingPlaceアプリケーションサーバの修正済みリリース

7.0

7.1MR1パッチ2への移行

7.1

7.1MR1パッチ2

8.0

8.0MR1パッチ1

8.5

8.5MR3パッチ1

Cisco Unified MeetingPlace Web Conferencingサーバにおける任意のログインに関する脆弱性

次の表に、Cisco Unified MeetingPlace Web Conferencing Serverの任意のログインの脆弱性を修正するCisco Unified MeetingPlace Application Serverソフトウェアリリースに関する情報を示します。

Cisco Unified MeetingPlace Web Conferencing Serverメジャーリリース

Cisco Unified MeetingPlace Web Conferencingサーバの修正済みリリース

7.0

7.1MR1パッチ2への移行

7.1

7.1MR1パッチ2

8.0

8.0MR1パッチ2

8.5

8.5MR3パッチ1

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

これらの脆弱性は、サポートケースの解決中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130410-mp

改訂履歴

リビジョン 1.0

2013年4月10日

初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。