Cisco Prime Data Center Network Manager の複数の脆弱性

ダウンロード オプション

  • PDF     (349.7 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (91.7 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (83.6 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2013 年 11 月 5 日
Document ID:

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

Critical

Critical

アドバイザリーID : cisco-sa-20130918-dcnm
初公開日 : 2013-09-18 16:00
最終更新日 : 2013-11-05 22:18
バージョン 1.2 : Final
CVSSスコア : 10.0
回避策 : No Workarounds available
 

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco Prime Data Center Network Manager（DCNM）には複数の脆弱性があり、認証されていないリモートの攻撃者が該当デバイスのファイルコンポーネントを公開したり、テキストファイルにアクセスしたりする可能性があります。Cisco Prime DCNM のさまざまなコンポーネントが影響を受けます。  これらの脆弱性は同一デバイス上で個別にエクスプロイトできるため、いずれかの脆弱性の影響を受けるリリースであっても、他の脆弱性の影響は受けない場合があります。

Cisco Prime DCNM は、次の脆弱性の影響を受けます。
  • Cisco Prime DCNM における情報漏えいの脆弱性
  • Cisco Prime DCNM におけるリモートコマンド実行の脆弱性
  • Cisco Prime DCNM における XML 外部エンティティ インジェクションの脆弱性


シスコはこれらの脆弱性に対処するソフトウェアアップデートをリリースしています。現在のところ、これらの脆弱性を緩和する回避策はありません。このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130918-dcnm

該当製品

脆弱性のある製品

このアドバイザリに記載された脆弱性の影響を受ける製品は次のとおりです。

 このアドバイザリに記載された脆弱性は、Cisco Prime DCNM の 6.2(1) より前のすべてのバージョンに影響します。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

詳細

Cisco Prime DCNM（旧製品名：Cisco Data Center Network Manager）は、イーサネットとストレージネットワークの管理を 1 つのダッシュボードに統合するネットワーク管理アプリケーションです。このアプリケーションを使用すると、ネットワークとストレージの管理者は、Cisco NX-OS ソフトウェアを実行するさまざまなシスコ製品ファミリの正常性とパフォーマンスを管理およびトラブルシュートできます。

Cisco Prime DCNM における情報漏えいの脆弱性

Cisco Prime DCNM の Cisco DCNM- SAN サーバーコンポーネントには、認証されていないリモートの攻撃者によって該当システムの任意のファイルの内容が開示される可能性のある脆弱性が存在します。

この脆弱性は、Cisco Bug ID CSCue77029（登録ユーザー専用）に文書化され、CVE ID CVE-2013-5487 が割り当てられています。

Cisco Prime DCNM におけるリモートコマンド実行の脆弱性

Cisco Prime DCNM の Cisco DCNM- SAN サーバーコンポーネントには 2 つの脆弱性があり、認証されていないリモートの攻撃者が、Cisco Prime DCNM アプリケーションをホストする基盤オペレーティングシステムで任意のコマンドを実行する可能性があります。

コマンドは、Microsoft Windows で実行されている Cisco Prime DCNM のシステムユーザー、または Linux で実行されている Cisco Prime DCNM のルートユーザーのコンテキストで実行されます。

これらの脆弱性は、Cisco Bug ID CSCue77035（登録ユーザー専用）および CSCue77036（登録ユーザー専用）に文書化され、CVE ID CVE-2013-5486 が割り当てられています。


Cisco Prime DCNM における XML 外部エンティティ インジェクションの脆弱性

Cisco Prime DCNM は脆弱性の影響を受けます。この脆弱性により、認証されていないリモートの攻撃者が、XML 外部エンティティ インジェクション攻撃を使用して root 権限で基盤となるオペレーティングシステム上の任意のテキストファイルにアクセスする可能性があります。  受信した要求を処理する際、XML 外部エンティティ参照と挿入されたタグにより、情報が漏えいする可能性があります。

この脆弱性は、Cisco Bug ID CSCud80148（登録ユーザー専用）に文書化され、CVE ID CVE-2013-5490 が割り当てられています。

回避策

ネットワーク内の Cisco デバイスに導入できる追加の緩和策については、このアドバイザリに関連する Cisco 適用インテリジェンス（https://sec.cloudapps.cisco.com/security/center/viewAMBAlert.x?alertId=30682）を参照してください。

修正済みソフトウェア

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt のシスコ セキュリティ アドバイザリ、応答、および通知のアーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

このアドバイザリに記載されたすべての脆弱性は、Cisco Prime DCNM バージョン 6.2(1) 以降で修正されています。

次のリンクをクリックすると、Cisco Data Center Network Manager の最新バージョンをダウンロードできます。
http://software.cisco.com/download/release.html?mdfid=281722751&softwareid=282088134&release=6.2%283%29&relind=AVAILABLE&rellifecycle=&reltype=latest&i=rm

Cisco Prime DCNM は Cisco.com の Software Center からダウンロードできます。Software Center にアクセスするには、http://www.cisco.com/cisco/software/navigator.html で [製品（Products）] > [クラウドおよびシステム管理（Cloud and Systems Management）] > [データセンターインフラストラクチャ管理（Data Center Infrastructure Management）] > [Cisco Prime Data Center Network Manager] の順に移動してください。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

Cisco Prime DCNM におけるリモートコマンド実行の脆弱性と Cisco Prime DCNM における情報漏えいの脆弱性は、 HP の Zero Day Initiative に協力している Andrea Micalizzi（別名 rgod）氏によってシスコに報告されました。

Cisco Prime DCNM における XML 外部エンティティ インジェクションの脆弱性は、NCC Group の Ben Williams 氏によってシスコに報告されました。

シスコは、これらの脆弱性を報告していただいたこと、およびシスコと連携して情報開示を調整していただいたことを両氏に感謝いたします。

URL

改訂履歴

リビジョン 1.2 2013 年 11 月 5 日 「エクスプロイトと公表」セクションを更新して、HP の Zero Day Initiative に協力している研究者の名前を含めました。
リビジョン 1.1 2013 年 9 月 19 日 脆弱性のあるバージョンをより簡潔に表現しました。修正済みバージョンを明確にするために「ソフトウェアバージョンと修正」セクションを更新しました。
リビジョン 1.0 2013 年 9 月 18 日 初版リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。