Critical

アドバイザリーID : cisco-sa-20131023-struts2

初公開日 : 2013-10-23 16:00

最終更新日 : 2015-10-12 12:30

バージョン 1.1 : Final

CVSSスコア : 10.0

回避策 : No workarounds available

Cisco バグ ID : CSCui51516 CSCui48757 CSCui22841 CSCui40582 CSCui33268

CVE-2013-2251

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

複数のシスコ製品には、リモートコマンド実行の脆弱性の影響を受けるApache Struts 2コンポーネントの実装が含まれています。

この脆弱性は、ユーザが指定した入力のサニタイズが不十分であることに起因します。攻撃者は、Object-Graph Navigation Language(OGNL)式で構成される巧妙に細工された要求を該当システムに送信することで、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者はターゲットシステムで任意のコードを実行する可能性があります。

シスコは、Cisco Business Edition 3000を除くすべての該当製品に対して、この脆弱性に対処するソフトウェアアップデートをリリースしました。Cisco Business Edition 3000をご使用のお客様は、シスコの担当者に連絡して利用可能なオプションを確認してください。

この脆弱性を軽減する回避策はありません。このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20131023-struts2

該当製品

脆弱性のある製品

次のシスコ製品のすべてのソフトウェアリリースがこの脆弱性の影響を受けます。

- Cisco Business Edition 3000

- Cisco Identity Services Engine（ISE）

- Cisco Media Experience Engine(MXE)3500シリーズ

- Cisco Unified SIP Proxy(Cisco Unified SP)

- Cisco Unified Contact Center Enterprise(Cisco Unified CCE)およびCisco Packaged Contact Center Enterprise(Cisco PCCE)

注：Cisco ISEソフトウェアは、次のリンクのCisco Security Advisoryで説明されているその他の脆弱性の影響を受けます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20131023-ise

Cisco ISEをご使用のお客様は、アップグレードパスを決定する前にアドバイザリを参照してください。

脆弱性を含んでいないことが確認された製品

次のシスコ製品は分析されており、この脆弱性の影響を受けません。

- Cisco 適応型セキュリティ アプライアンス（ASA）ソフトウェア

- Cisco Business Edition 5000およびCisco Business Edition 6000シリーズ

- Cisco Cloud Web Security

- Cisco Conductor

- Cisco Configuration Assurance Solution

- Cisco Data Center Network Manager（DCNM）

- Cisco DVR

- Cisco Emergency Responder

- Cisco Firewall Service Module(FWSM)ソフトウェア

- Cisco Hosted Collaboration Mediation Fulfillment(HCM-F)

- Cisco Media Experience Engine(MXE)3000シリーズおよびCisco MXE 5600シリーズ

- Cisco Prime Central for HCS Assurance

- Cisco Prime Infrastructure

- Cisco Prime LAN Management Solution(LMS)

- Cisco Prime Network Control System(NCS)

- Cisco Secure Access Control Server（ACS）

- Cisco TelePresence Manager、Cisco TelePresence Recording Server、およびCisco TelePresence Multipoint Switch

- Cisco Unified Attendant Console

- Cisco Unified Communication Domain Manager(CUCDM)

- Cisco Unified Communication Manager(CallManager)

- Cisco Unified Communications Manager IM and Presence ServiceおよびCisco Unified Presence

- Cisco Unified MeetingPlace

- Cisco Unified Operation Manager(CUOM)

- Cisco Unified Services Monitor(CUSM)

- Cisco Unified Survivable Remote Site Telephony(SRST)Manager

- Cisco Unified Survivable Remote Site Voicemail(SRSV)

- Cisco Unity Connection

- Cisco Videoscape Control Suite

- Cisco Webセキュリティ、Cisco Eメールセキュリティ、およびCiscoコンテンツセキュリティ管理アプライアンス

- Cisco WebEx

- Cisco WebEx Recording Format(WRF)およびCisco WebEx Network-Based Recorder(NBR)Player

- Cisco Wireless Control System（WCS）

- CiscoWorks Common Services

他のシスコ製品はこの脆弱性の影響を受けません。

詳細

DefaultActionMapperコンポーネントの脆弱性により、認証されていないリモートの攻撃者がターゲットシステムで任意のコマンドを実行する可能性があります。

この脆弱性は、ユーザが指定した入力のサニタイズが不十分であることに起因します。攻撃者は、Object-Graph Navigation Language(OGNL)式で構成される巧妙に細工された要求を送信することで、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者はターゲットシステムで任意のコードを実行する可能性があります。

この脆弱性がシスコ製品に与える影響は、影響を受ける製品によって異なります。Cisco ISE、Cisco Unified SIP Proxy、およびCisco Business Edition 3000で不正利用されると、該当システムで任意のコマンドが実行される可能性があります。Cisco ISE、Cisco Unified SIP Proxy、およびCisco Unified CCEまたはCisco PCCEに対する攻撃を実行するために必要な認証はありません。Cisco Business Edition 3000でこの脆弱性をエクスプロイトするには、攻撃者が有効なクレデンシャルを提供するか、有効なクレデンシャルを持つユーザに悪意のあるURLを実行するよう説得する必要があります。

Cisco MXE 3500シリーズの不正利用に成功すると、攻撃者はユーザを別の悪意のあるWebサイトにリダイレクトできる可能性があります。ただし、この製品では任意のコマンドを実行することはできません。

攻撃ベクトルと影響に関する詳細については、このセキュリティアドバイザリの「脆弱性スコアの詳細」セクションを参照してください。

この脆弱性は、Cisco ISEのCisco Bug ID CSCui22841(登録ユーザ専用)、Cisco Business Edition 3000のCSCui33268(登録ユーザ専用)、Cisco Unified SIP ProxyのCSCui40582(登録ユーザ専用)、およびCiscoのCSCui487577777777777777(登録7ユーザ2)に8666666666666666666666)として6cisco Unified CCEおよびCisco PCCE用のXE 3500シリーズおよびCSCui51516（登録ユーザ専用）。

この脆弱性には、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2013-2251が割り当てられています。

回避策

この脆弱性を軽減する回避策はありません。

修正済みソフトウェア

シスコは、Cisco Business Edition 3000を除くすべての該当製品に対して、この脆弱性に対処するソフトウェアアップデートをリリースしました。Cisco Business Edition 3000をご使用のお客様は、シスコの担当者に連絡して利用可能なオプションを確認してください。

ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories and Responses アーカイブや後続のアドバイザリを参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

次の表に、影響を受ける各製品の最初の修正済みリリースを示します。

製品

First Fixed Release（修正された最初のリリース）

Cisco ISE^1

1.0.4.573-6、1.1.0.665-4、1.1.1.268-6、1.1.2.145-9、1.1.3.124-4、1.1.4.218-4、1.2.0.899

Cisco Business Edition 3000

利用できません。利用可能なオプションについては、Cisco TACまたはシスコの担当者にお問い合わせください。

Cisco Unified Sip Proxy

8.5(5)

Cisco MXE 3500シリーズ

3.3.2およびStrutsPatch.zipの適用

Cisco Unified CCEおよびCisco PCCE

10.5(1)、8.5(4)ES37、9.0(4)ES39、9.0(3)ES13、10.0(1)ES10、および10.0(2)

注:Cisco Unified CCEのEngineering Specialパッチリリースは、次のリンクから入手できます。

8.5(4): http://www.cisco.com/cisco/software/special/release.html?config=2c8f679b8cdc4fed65e866e30fced34c

9.0(4): http://software.cisco.com/download/special/release.html?config=b40f7ffb0a876e5dae4e202df4b6547b

9.0(3): http://software.cisco.com/download/special/release.html?config=593487b10e77653c20560c54efa6e7a0

1Cisco ISEは、次のリンクのCisco Security Advisoryで説明されているその他の脆弱性の影響を受けます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20131023-ise

Cisco ISE のお客様は、アップグレード パスを決定する前にアドバイザリを確認する必要があります。

不正利用事例と公式発表

Apacheはこの脆弱性を次のURLで確認しています。http://struts.apache.org/release/2.3.x/docs/s2-016.html

この脆弱性を不正利用するコードは、インターネット上のさまざまなソースから一般に入手可能です。概念実証コードは、公式のApache Struts 2ページでも公開されています。

Cisco Product Security Incident Response Team(PSIRT)では、本アドバイザリに記載されている脆弱性が影響を受けるシスコ製品に対する不正利用事例は確認しておりません。

出典

この脆弱性は、Security MetricsのKevin Ostrin氏によってCisco Unified CCEおよびCisco PCCEに関してシスコに報告されました。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20131023-struts2

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.1

Cisco Unified CCEおよびCisco PCCEに関する情報を追加。

影響を受ける製品と詳細

Final

2015年10月9日

1.0

初回公開リリース

2013 年 10 月 23 日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。