Critical

アドバイザリーID : cisco-sa-20130424-ucsmulti

初公開日 : 2013-04-24 16:00

最終更新日 : 2013-06-06 20:24

バージョン 1.2 : Final

CVSSスコア : 10.0

回避策 : No Workarounds available

Cisco バグ ID : CSCts53746 CSCtg48206 CSCtq86543 CSCtc91207 CSCtd32371

CVE-2013-1186

CVE-2013-1183

CVE-2013-1182

CVE-2013-1185

CVE-2013-1184

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

マネージドおよびスタンドアロンのCisco Unified Computing System(UCS)の導入には、次の1つ以上の脆弱性が含まれています。

- Cisco Unified Computing SystemのLDAPユーザ認証バイパスの脆弱性

- Cisco Unified Computing SystemのIPMIバッファオーバーフローの脆弱性

- Cisco Unified Computing Management APIのDoS脆弱性

- Cisco Unified Computing Systemの情報漏えいの脆弱性

- Cisco Unified Computing SystemのKVM認証バイパスの脆弱性

シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。  これらの脆弱性の影響を受けるのはCisco UCSだけです。  UCSのNX-OSベースオペレーティングシステムに影響を与えるその他の脆弱性については、『Cisco NX-OSベース製品の複数の脆弱性』を参照してください。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130424-ucsmulti

該当製品

脆弱性のある製品

次の製品は、このアドバイザリに記載されている1つ以上の脆弱性の影響を受けます。

Cisco Unified Computing System 6100シリーズファブリックインターコネクト

Cisco Unified Computing System 6200シリーズファブリックインターコネクト

Cisco Unified Computing System Cisco Integrated Management Controller

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

Cisco Unified Computing Systemファブリックインターコネクトは、統合されたCisco UCSプラットフォームのスイッチングファブリックおよび管理コンポーネントです。  このセクションで説明する特定の脆弱性はプロトコルに関連しており、サービスがファブリックインターコネクトでホストされている間、プロトコルはCisco UCS CシリーズまたはBシリーズサーバ上のCisco Integrated Management Controller(Cisco IMC)などのCisco UCSプラットフォーム内の他のコンポーネントと対話する可能性があります。

Cisco Unified Computing SystemのLDAPユーザ認証バイパスの脆弱性

Cisco UCS Managerには、LDAP認証バイパスの脆弱性が存在します。この脆弱性により、認証されていないリモートの攻撃者がCisco UCS Manager Webコンソールにアクセスし、有効な認証クレデンシャルを入力せずに特定のユーザとして認証される可能性があります。この脆弱性を不正利用するには、攻撃者は、この脆弱性を活用するように設計されたCisco UCS Managerログインページに不正な要求を送信する必要があります。

影響を受けるのは、直接LDAP統合用に設定されたCisco UCSシステムだけです。Cisco UCS Managerが認証を行うLDAPサーバで、特定のLDAPオプションを有効にする必要があります。この脆弱性は、ローカル、RADIUS、認証、許可、アカウンティング(AAA)、TACACS+などの他の認証方式には影響を与えません。

この脆弱性は、Cisco Bug ID CSCtc91207( 登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2013-1182が割り当てられています。

Cisco Unified Computing SystemのIPMIバッファオーバーフローの脆弱性

Cisco UCS Managerには、Cisco UCSファブリックインターコネクトでホストされるIntelligent Platform Management Interface(IPMI)実装のバッファオーバーフローの脆弱性が存在します。UDPポート623を介してIPMIサービスに正しく不正な要求を送信できる認証されていないリモートの攻撃者は、バッファオーバーフローを引き起こす可能性があります。これにより、攻撃者は権限を昇格させて任意のコードを実行できる可能性があります。

このサービスはUDP上で実行されるため、この脆弱性を不正利用するためにTCP 3ウェイハンドシェイクは必要ありません。

この脆弱性は、Cisco Bug ID CSCtd32371( 登録ユーザ専用)として文書化され、CVE IDとしてCVE-2013-1183が割り当てられています。

Cisco Unified Computing Management APIのDoS脆弱性

Cisco UCS Managerには、管理APIにサービス拒否の脆弱性が存在します。認証されていないリモートの攻撃者が、Cisco UCS ManagerのXML API管理サービスに正しく不正な要求を送信すると、サービスが応答を停止する可能性があります。その結果、管理者はファブリックインターコネクトとデバイスによって管理されるコンピューティングリソースに対して設定の変更や管理アクションを実行できませんでした。機能を復元するには、Fabric Interconnectを再起動する必要があります。

この脆弱性は、Cisco Bug ID CSCtg48206( 登録ユーザ専用)として文書化され、CVE IDとしてCVE-2013-1184が割り当てられています。

Cisco Unified Computing Systemの情報漏えいの脆弱性

Cisco UCS Managerには、情報漏えいの脆弱性が存在します。認証されていないリモートの攻撃者が、デバイス管理者によって作成されたテクニカルサポートまたはローカルバックアップファイルにアクセスする可能性があります。攻撃者がこの脆弱性を不正利用するには、Cisco UCS ManagerのWebインターフェイスにアクセスする必要があります。

攻撃者がアクセスする可能性のあるファイルには、影響を受けるCisco UCSプラットフォームの完全な侵害につながる可能性のある機密情報が含まれています。攻撃者は、管理者が使用する命名規則とファイルが作成された日付を知っている必要があります。これらのファイルはデバイス上で自動的に作成されるのではなく、管理者がテクニカルサポートバンドルファイルを作成したり、デバイス上の設定バックアップを実行したりした場合に作成されます。

この脆弱性は、Cisco Bug ID CSCtq86543( 登録ユーザ専用)として文書化され、CVE IDとしてCVE-2013-1185が割り当てられています

Cisco Unified Computing SystemのKVM認証バイパスの脆弱性

Cisco UCSプラットフォームには、IPキーボード、ビデオ、マウス(KVM)認証バイパスの脆弱性が存在します。認証されていないリモートの攻撃者が、悪意のあるKVM認証要求をマネージドコンピューティングリソースのCisco IMCに送信すると、認証がバイパスされ、物理デバイスまたは仮想デバイスのIP KVMコンソールにアクセスできる可能性があります。この脆弱性により、アクティブな所有者が要求を確認した場合、または要求に60秒以内に応答しなかった場合、認証されていないリモートの攻撃者が既存のアクティブなIP KVMセッションに参加できる可能性もあります。

この脆弱性は、Cisco Bug ID CSCts53746( 登録ユーザ専用)として文書化され、CVE IDとしてCVE-2013-1186が割り当てられています。

回避策

これらの脆弱性を軽減するデバイス上の回避策はありません。

シスコは、これらの脆弱性が悪用される可能性を検出して緩和する方法を説明する適用対応策速報(AMB)をリリースしました。AMB『 Identifying and Mitigating Multiple Vulnerabilities in Cisco Unified Computing System（Cisco Unified Computing Systemの複数の脆弱性の識別と緩和）』は、次のURLで入手できます。 https://sec.cloudapps.cisco.com/security/center/viewAMBAlert.x?alertId=28729

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、 http://www.cisco.com/go/psirt のシスコ セキュリティ アドバイザリ、応答、および通知のアーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

Managed Cisco Unified Computing System – システムソフトウェア

該当

最初の固定

推奨

LDAP 認証バイパス

CVE-2013-1182

1.0(2h)より前

1.1(1j)より前

1.3(x)

1.0(2h)

1.1(1j)

1.4(1i)

2.1.1e

IPMIバッファオーバーフロー

CVE-2013-1183

1.0(x)

1.1(1j)より前

1.2(1b)より前

1.1(1j)

1.2(1b)

2.1.1e

APIサービス拒否

CVE-2013-1184

1.0(x)

1.1(x)

1.2(1b)より前

1.2(1b)

2.1.1e

情報露見

CVE-2013-1185

1.0(x)

1.1(x)

1.2(x)

1.3(x)

1.4(x)

2.0(1x)以前

2.0(2 m)

2.1(1a)

2.1.1e

KVM認証バイパス

CVE-2013-1186

1.0(x)

1.1(x)

1.2(x)

1.3(x)

1.4(x)

2.0(1x)以前

2.0(2 m)

2.1.1e

スタンドアロンCisco Unified Computing System – サーバソフトウェア

該当

最初の固定

推奨

KVM認証バイパス：第2世代およびそれ以降のUCSサーバ

CVE-2013-1186

1.0(x)

1.1(x)

1.2(x)

1.3(x)

1.4(3s)以前

1.4(4)

1.5(1f)

KVM認証バイパス：第1世代UCSサーバ(C200/C210/C250)

CVE-2013-1186

1.0(x)

1.1(x)

1.2(x)

1.3(x)

1.4(3s)以前

1.4(3t)

1.4(3t)

注：Cisco CシリーズC200 M1/M2、C210 M1/M2、およびC250 M1/M2サーバ用の修正済みソフトウェアが利用可能になりました。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）では、本アドバイザリに記載されている脆弱性のエクスプロイト事例とその公表は確認しておりません。

これらの脆弱性は、Cisco UCSファブリックインターコネクトおよび関連デバイスの内部セキュリティ監査中に発見されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130424-ucsmulti

改訂履歴

リビジョン 1.2

2013年6月6日

第1世代(C200/C2210/C250)UCSスタンドアロンサーバのソフトウェアの可用性ステータスを更新。

リビジョン 1.1

2013年4月30日

「修正済みソフトウェア」セクションのEOLデバイスのソフトウェア可用性ステータスを更新。

リビジョン 1.0

2013年4月24日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。