High
High
アドバイザリーID : cisco-sa-20150902-cimcs
初公開日 : 2015-09-02 16:00
バージョン 1.0 : Final
CVSSスコア :
7.8
回避策 :
No Workarounds available
Cisco バグ ID : CSCus62625
CSCus36435
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco Integrated Management Controller(IMC)SupervisorおよびCisco UCS Directorにはリモートファイル上書きの脆弱性があり、認証されていないリモートの攻撃者が任意のシステムファイルを上書きして、システムを不安定にしたり、サービス妨害(DoS)状態を引き起こしたりする可能性があります。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。
これらの脆弱性に対しては回避策がありません。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150902-cimcs
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。
これらの脆弱性に対しては回避策がありません。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150902-cimcs
該当製品
脆弱性のある製品
この脆弱性は、次の2つのシスコ製品に影響を与えます。
- ソフトウェアバージョン1.0.0.1より前のCisco IMC Supervisor
- ソフトウェアバージョン5.2.0.1よりも前のCisco UCS Director（旧称Cloupia Unified Infrastructure Controller）
脆弱性を含んでいないことが確認された製品
他のシスコ製品において、このアドバイザリの影響を受けるものは現在確認されていません。
詳細
Cisco IMC SupervisorおよびCisco UCS DirectorのJavaServer Pages(JSP)入力検証ルーチンの脆弱性により、認証されていないリモートの攻撃者がシステム上の任意のファイルを上書きする可能性があります。
この脆弱性は、特定のJSPページでの不完全な入力サニタイズに起因します。攻撃者は、巧妙に細工されたHTTP要求を該当システムに送信することにより、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者は任意のシステムファイルを上書きし、システムを不安定にできる可能性があります。
デフォルトの設定を実行しているシステムが影響を受けます。
この脆弱性は、Cisco IMC Supervisorに関してはCisco Bug ID CSCus36435(登録ユーザ専用)として、Cisco UCS Directorに関してはCisco Bug ID CSCus62625(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2220155555959559559955555555555555555555555555555555555555555555555555555555
この脆弱性は、特定のJSPページでの不完全な入力サニタイズに起因します。攻撃者は、巧妙に細工されたHTTP要求を該当システムに送信することにより、この脆弱性を不正利用する可能性があります。この不正利用により、攻撃者は任意のシステムファイルを上書きし、システムを不安定にできる可能性があります。
デフォルトの設定を実行しているシステムが影響を受けます。
この脆弱性は、Cisco IMC Supervisorに関してはCisco Bug ID CSCus36435(登録ユーザ専用)として、Cisco UCS Directorに関してはCisco Bug ID CSCus62625(登録ユーザ専用)として文書化され、Common Vulnerabilities and Exposures(CVE)IDとしてCVE-2220155555959559559955555555555555555555555555555555555555555555555555555555
回避策
回避策はありません。
修正済みソフトウェア
ソフトウェアのアップグレードを検討する場合は、http://www.cisco.com/go/psirt の Cisco Security Advisories, Responses, and Alerts アーカイブや、後続のアドバイザリを参照して侵害の可能性と完全なアップグレード ソリューションを確認してください。
いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。Cisco IMCスーパバイザ
ソフトウェアバージョン1.0.0.1より前のすべてのバージョンが影響を受けます。
ソフトウェアバージョン1.0.0.0を実行しているお客様は、システムに1.0.0.1以降のパッチを適用する必要があります。このパッチは、Cisco Software Center(https://software.cisco.com/download/release.html?mdfid=286283219&softwareid=286283500&os=&release=1&relind=AVAILABLE&rellifecycle=&reltype=latest&i=!pp)からダウンロードできます。
Cisco UCS Director
ソフトウェアバージョン5.2.0.1より前のすべてのバージョンが影響を受けます。
ソフトウェアバージョン5.3.0.0に修正が含まれています。
5.2.0.1より前のバージョンを実行している場合は、5.2.0.1以降または5.3.0.0以降にアップグレードする必要があります。
バージョン5.2.0.0を実行しているお客様は、パッチ5.2.0.1以降を適用する必要があります。パッチは、次のURLのCisco Software Centerから入手できます。
https://software.cisco.com/download/release.html?mdfid=286283454&flowid=72903&softwareid=285018084&release=5&relind=AVAILABLE&rellifecycle=&reltype=latest
不正利用事例と公式発表
Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。
この脆弱性は、シスコ内部でのセキュリティテストによって発見されました。
URL
改訂履歴
| リビジョン 1.0 | 2015年9月2日 | 初版リリース |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。