Critical
Critical
アドバイザリーID : cisco-sa-20140709-struts2
初公開日 : 2014-07-09 16:00
最終更新日 : 2014-12-17 18:47
バージョン 1.2 : Final
CVSSスコア :
10.0
回避策 :
No Workarounds available
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
複数のシスコ製品に、Apacheによって特定されたリモートコマンド実行の脆弱性の影響を受けるApache Struts 2コンポーネントの実装が含まれています。この脆弱性は、Common Vulnerabilities and Exposures ID CVE-2010-1870で文書化されています。
この脆弱性は、該当ソフトウェアのXWorksコンポーネントにおけるユーザ入力のサニタイズが不十分であることに起因します。このコンポーネントは、ParameterInterceptorsディレクティブを使用して、ホワイトリスト機能によって実装されるObject-Graph Navigation Language(OGNL)式を解析します。攻撃者は、OGNL式を含む要求を巧妙に細工して該当システムに送信することにより、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者はターゲットシステムで任意のコードを実行できる可能性があります。
シスコは、Cisco Business Edition 3000シリーズを除くすべての該当製品について、この脆弱性に対処するソフトウェアアップデートをリリースしています。Cisco Business Edition 3000シリーズをご利用のお客様は、利用可能なオプションについてシスコの担当者にお問い合わせください。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。これらの脆弱性に対しては回避策がありません。このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140709-struts2
この脆弱性は、該当ソフトウェアのXWorksコンポーネントにおけるユーザ入力のサニタイズが不十分であることに起因します。このコンポーネントは、ParameterInterceptorsディレクティブを使用して、ホワイトリスト機能によって実装されるObject-Graph Navigation Language(OGNL)式を解析します。攻撃者は、OGNL式を含む要求を巧妙に細工して該当システムに送信することにより、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者はターゲットシステムで任意のコードを実行できる可能性があります。
シスコは、Cisco Business Edition 3000シリーズを除くすべての該当製品について、この脆弱性に対処するソフトウェアアップデートをリリースしています。Cisco Business Edition 3000シリーズをご利用のお客様は、利用可能なオプションについてシスコの担当者にお問い合わせください。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。これらの脆弱性に対しては回避策がありません。このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140709-struts2
該当製品
脆弱性のある製品
次のシスコ製品がこの脆弱性の影響を受けます。
- Cisco Business Edition 3000シリーズ
- Cisco Identity Services Engine（ISE）
- Cisco Media Experience Engine(MXE)3500シリーズ
- Cisco Unified Contact Center Enterprise(Cisco Unified CCE)
脆弱性を含んでいないことが確認された製品
次のシスコ製品は分析済みであり、この脆弱性の影響を受けません。
- Cisco 適応型セキュリティ アプライアンス（ASA）ソフトウェア
- Cisco Business Edition 5000シリーズおよびCisco Business Edition 6000シリーズ
- CiscoクラウドWebセキュリティ(CWS)
- Cisco Conductor
- Cisco Configuration Assuranceソリューション(CAS)
- Cisco Prime Data Center Network Manager（DCNM）
- Cisco DVR
- Cisco Emergency Responder
- Cisco Firewall Service Module(FWSM)ソフトウェア
- Cisco Hosted Collaboration Mediation Fulfillment(HCM-F)
- Cisco Media Experience Engine(MXE)3000シリーズおよびCisco MXE 5600シリーズ
- Cisco Prime Central for Hosted Collaboration Solution(HCS)Assurance
- Cisco Prime Infrastructure
- Cisco Prime LAN Management Solution(LMS)
- Cisco Prime Network Control System(NCS)
- Cisco Secure Access Control Server（ACS）
- Cisco TelePresence Manager、Cisco TelePresence Recording Server、およびCisco TelePresence Multipoint Switch
- Cisco Unified Attendant Console
- Cisco Unified Communications Domain Manager(Cisco Unified CDM)
- Cisco Unified Communications Manager(Cisco Unified CM)
- Cisco Unified Communications Manager IM and Presence ServiceおよびCisco Unified Presence
- Cisco Unified MeetingPlace
- Cisco Prime Unified Operation Manager(UOM)
- Cisco Prime Unified Services Monitor(USM)
- Cisco Unified SIP Proxy(USP)
- Cisco Unified Survivable Remote Site Telephony(SRST)Manager
- Cisco Unified Survivable Remote Site Voicemail(SRSV)
- Cisco Unity Connection
- Cisco Videoscape Control Suite Foundation(VCS-Foundation)
- Cisco Webセキュリティアプライアンス(WSA)、Cisco Eメールセキュリティアプライアンス(ESA)、およびCiscoコンテンツセキュリティ管理アプライアンス(SMA)
- Cisco Webex
- Cisco WebEx Recording Format(WRF)およびCisco WebEx Network-Based Recorder(NBR)プレーヤー
- Cisco Wireless Control System（WCS）
- CiscoWorks Common Services(CS)
他のシスコ製品はこの脆弱性の影響を受けません。
詳細
Apache Struts 2には、認証されていないリモートの攻撃者がセキュリティ制限をバイパスし、ターゲットシステムで任意のコマンドを実行できる可能性のある脆弱性が存在します。
この脆弱性は、影響を受けるソフトウェアによるユーザ入力のサニタイズが不十分であることに起因します。認証されていないリモートの攻撃者は、OGNL式を含む巧妙に細工された要求を送信してセキュリティ制限をバイパスし、サーバ側オブジェクトで任意のコマンドを実行することで、この脆弱性を不正利用する可能性があります。
この脆弱性が確認されたため、Cisco Unified CCEに対してAdministrator権限を使用したリモートコード実行が可能です。Cisco ISE、Cisco MXE 3500、およびCisco Business Edition 3000シリーズでの不正利用は、理論的には可能ですが、再現できませんでした。この脆弱性の影響を受けるお客様は、修正済みのソフトウェアリリースバージョンにアップグレードすることをお勧めします。
この脆弱性は、Cisco Business Edition 3000シリーズのCisco Bug ID CSCun31197(登録ユーザ専用)、Cisco ISEのCSCun31314(登録ユーザ専用)、Cisco MXE 3500のCSCun31301(登録ユーザ専用)、およびCSCun252441(登録で文書化されていますユーザ専用)として文書化されています。
この脆弱性には、Common Vulnerabilities and Exposures（CVE）ID として、CVE-2010-1870 が割り当てられています。
この脆弱性は、影響を受けるソフトウェアによるユーザ入力のサニタイズが不十分であることに起因します。認証されていないリモートの攻撃者は、OGNL式を含む巧妙に細工された要求を送信してセキュリティ制限をバイパスし、サーバ側オブジェクトで任意のコマンドを実行することで、この脆弱性を不正利用する可能性があります。
この脆弱性が確認されたため、Cisco Unified CCEに対してAdministrator権限を使用したリモートコード実行が可能です。Cisco ISE、Cisco MXE 3500、およびCisco Business Edition 3000シリーズでの不正利用は、理論的には可能ですが、再現できませんでした。この脆弱性の影響を受けるお客様は、修正済みのソフトウェアリリースバージョンにアップグレードすることをお勧めします。
この脆弱性は、Cisco Business Edition 3000シリーズのCisco Bug ID CSCun31197(登録ユーザ専用)、Cisco ISEのCSCun31314(登録ユーザ専用)、Cisco MXE 3500のCSCun31301(登録ユーザ専用)、およびCSCun252441(登録で文書化されていますユーザ専用)として文書化されています。
この脆弱性には、Common Vulnerabilities and Exposures（CVE）ID として、CVE-2010-1870 が割り当てられています。
回避策
この脆弱性を軽減する回避策はありません。
修正済みソフトウェア
ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt のシスコ セキュリティ アドバイザリ、応答、および通知のアーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。
次の表に、該当製品の最初の修正リリースを示します。| 製品 | First Fixed Release（修正された最初のリリース） |
| Cisco Business Edition 3000シリーズ | 利用不可利用可能なオプションについては、Cisco TACまたはシスコの代理店にお問い合わせください。 |
| Cisco Identity Services Engine（ISE） | 1.0.4.573-6、1.1.0.665-4、1.1.1.268-6、1.1.2.145-9、1.1.3.124-4、1.1.4.218-4、および1.2.0.899 |
| Cisco Media Experience Engine(MXE)3500シリーズ | 3.3.2およびStrutsPatch.zipの適用 |
| Cisco Unified CCE |
10.5(1)、8.5(4)ES37、9.0(4)ES39、9.0(3)ES13 |
注:Cisco Unified CCEのEngineering Specialパッチリリースは、次のリンクから入手できます。
8.5(4)：http://www.cisco.com/cisco/software/special/release.html?config=2c8f679b8cdc4fed65e866e30fced34c
9.0(4)：http://software.cisco.com/download/special/release.html?config=b40f7ffb0a876e5dae4e202df4b6547b
9.0(3)：http://software.cisco.com/download/special/release.html?config=593487b10e77653c20560c54efa6e7a0
推奨事項
$propertyAndFields.get("recommendations")
不正利用事例と公式発表
Apacheはhttp://struts.apache.org/release/2.2.x/docs/s2-005.htmlでこの脆弱性を確認しています。
この脆弱性の不正利用を示す機能コードが公開されています。
Cisco Product Security Incident Response Team(PSIRT)では、本アドバイザリに記載されている脆弱性の不正利用事例とその公表は確認しておりません。
この脆弱性は、Che-Chun Kuo氏とJason Sinchak氏によってCisco Unified CCEに関してシスコに報告されました。
URL
改訂履歴
| リビジョン 1.2 | 2014-December-17 | リクエストごとに脆弱性リポーターをクレジットしました。 |
| リビジョン 1.1 | 2014年8月27日 | Cisco Unified CCEの修正済みリリースに関する追加情報を追加。 |
| リビジョン 1.0 | 2014年7月9日 | 初回公開リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。