Critical

アドバイザリーID : cisco-sa-20170310-struts2

初公開日 : 2017-03-10 19:30

最終更新日 : 2017-05-05 17:02

バージョン 1.12 : Final

回避策 : No workarounds available

Cisco バグ ID : CSCvd49788 CSCvd51442 CSCvd49817 CSCvd49829 CSCvd51443 CSCvd51283 CSCvd63318 CSCvd56593 CSCvd63325 CSCvd63328 CSCvd56191 CSCvd63322 CSCvd49841

CVE-2017-5638

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

2017年3月6日、ApacheはApache Struts2で使用されるJakarta Multipartパーサーの脆弱性を公開しました。この脆弱性により、攻撃者は巧妙に細工されたAPIを使用してターゲットシステム上でリモートでコマンドを実行できる可能性があります Content-Type、Content-Disposition、またはContent-Lengthの値です。

この脆弱性にはCVE-ID CVE-2017-5638が割り当てられています。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170310-struts2

該当製品

シスコでは、本脆弱性の影響を受ける製品と影響の範囲を特定するために、製品ラインを調査中です。製品が該当するかどうかについては、このアドバイザリの「 脆弱性が存在する製品」および「 脆弱性を含んでいないことが確認された製品」のセクションを参照してください。

「 脆弱性が存在する製品」の項には、影響を受ける製品の Cisco Bug ID を示します。Cisco Bug は Cisco Bug Search Tool で検索可能であり、回避策（使用可能な場合）と修正されたソフトウェア リリースなど、プラットフォーム固有の追加情報が記載されます。

脆弱性のある製品

次の表に、本アドバイザリに記載された脆弱性の影響を受けるシスコ製品を示します。

特定の修正済みソフトウェアバージョンに関する詳細情報は、アドバイザリのこのセクションの「脆弱性のある製品」の表に記載されているCisco Bugsに記載されています。Bugs は、Cisco Bug Search Tool で検索できます。ソフトウェアのアップグレードを計画する際は、バグを直接確認してください。バグには最新の情報が含まれているからです。

製品

Cisco Bug ID

Fixed Release Availability

Collaboration and Social Media

Cisco SocialMiner

CSCvd63318

11.5 SU1（2017年4月7日）

ネットワークおよびコンテンツ セキュリティ デバイス

Cisco Identity Services Engine（ISE）

CSCvd49829

パッチが利用可能（2017年3月24日）

ネットワーク管理とプロビジョニング

Cisco Prime License Manager

CSCvd51283

11.5(1)SU1a（現在利用可能）

Cisco Unified Intelligence Center

CSCvd56191

11.5(1) ES03（2017年3月30日）

音声およびユニファイド コミュニケーション デバイス

Cisco Emergency Responder

CSCvd51442

11.5用パッチ（2017年4月19日）

Cisco Finesse

CSCvd63325

11.5 ES2（2017年4月7日）

Cisco Hosted Collaboration Mediation Fulfillment

CSCvd51443

HCM-F 11.5.1 SU1（2017年4月7日）

Cisco Hosted Collaboration Solution for Contact Center

CSCvd56593

10.5(3)パッチが利用可能

11.0(2)（2017年3月22日）

11.5(1) （2017年3月22日）

10.0(2)（2017年3月24日）

Cisco MediaSense

CSCvd63328

11.5（2017年4月7日）

Cisco Packaged Contact Center Enterprise

CSCvd51212

Cisco Unified Communications Manager IM & Presence Service（旧称 CUPS）

CSCvd49842

パッチが利用可能（2017年3月23日）

Cisco Unified Communications Manager Session Management Edition

CSCvd49840

パッチが利用可能（2017年3月31日）

Cisco Unified Communications Manager

CSCvd49840

パッチが利用可能（2017年3月31日）

Cisco Unified Contact Center Enterprise - Live Data server

CSCvd63365

10.5(3)（入手可能）

11.0 (2) （2017年4月7日）

11.5(1) （2017年4月7日）

10.0(2)（入手可能）

Cisco Unified Contact Center Enterprise

CSCvd51210

10.5(3)（入手可能）

11.0(2)（2017年3月22日）

11.5(1)（2017年3月22日）

10.0(2)（2017年3月24日）

Cisco Unified Contact Center Express

CSCvd63322

11.5 SU1（2017年4月7日）

Cisco Unified Intelligent Contact Management Enterprise

CSCvd51210

10.5(3)（入手可能）

11.0(2)（2017年3月22日）

11.5(1)（2017年3月22日）

10.0(2)（2017年3月24日）

Cisco Unified SIP Proxy ソフトウェア

CSCvd49788

10.1 (June 2017)

Cisco Unity Connection

CSCvd49841

12.0（2017年3月27日）

11.5（2017年4月10日）

11.0（2017年4月10日）

Cisco Virtualized Voice Browser

CSCvd63333

11.5 SU1（2017年4月7日）

シスコ ホステッド サービス

Cisco Prime Service Catalogアプライアンスおよび仮想アプライアンス

CSCvd49817

PSC 12.0パッチ1（2017年3月14日）

脆弱性を含んでいないことが確認された製品

Collaboration and Social Media

- Cisco Unified MeetingPlace

- Cisco WebEx Meetingsクライアント – オンプレミス

- Cisco Webex ミーティング サーバ

エンドポイント クライアントとクライアント ソフトウェア

- Cisco Agent for OpenFlow

- Cisco AnyConnect Secure Mobility Client for Android

- Cisco AnyConnect Secure Mobility Client for Linux

- Cisco AnyConnect Secure Mobility Client for Mac OS X

- Cisco AnyConnect Secure Mobility Client for Windows

- Cisco AnyConnect Secure Mobility Client for iOS

- Cisco Jabber Client Framework(JCF)のコンポーネント

- Cisco Jabber Guest

- Cisco Jabber Software Development Kit

- Cisco Jabber for Android

- Cisco Jabber for Mac

- Cisco Jabber for Windows

- Cisco NAC Agent for Windows

- Cisco NAC Agent

- Cisco WebEx Meetings for Android

- Cisco WebEx Meetings for Windows Phone 8

ネットワーク アプリケーション、サービス、およびアクセラレーション

- Cisco Network Device Security Assessment Service

- Cisco Visual Quality Experience Server

- Cisco Visual Quality Experience Tools Server

- Cisco Wide Area Application Services（WAAS）

ネットワークおよびコンテンツ セキュリティ デバイス

- Cisco Adaptive Security Appliance（ASA）

- Ciscoコンテンツセキュリティアプライアンスアップデートサーバ

- Cisco Content Security Management Appliance (SMA)

- Cisco Email Security Appliance (ESA)

- Cisco FX-OSソフトウェア

- Cisco FireSIGHT システム ソフトウェア

- Cisco Secure Access Control System（ACS）

- Cisco Web Security Appliance (WSA)

- Lancope Stealthwatch Endpoint Concentrator

- Lancope Stealthwatch FlowCollector NetFlow

- Lancope Stealthwatch FlowCollector sFlow

- Lancope Stealthwatch FlowSensor

- Lancope Stealthwatch SMC

- Lancope Stealthwatch UDP Director

ネットワーク管理とプロビジョニング

- Cisco Application Networking Manager

- Cisco Application Policy Infrastructure Controller（APIC）

- Cisco Cloupia Unified Infrastructure Controller

- Cisco Configuration Professional

- Cisco DCNM

- Cisco Digital Media Manager

- Cisco MATE Collector

- Cisco MATE Design

- Cisco MATE Live

- Cisco管理アプライアンス

- Cisco Meeting Server

- Cisco Multicast Manager

- Cisco NetFlow Generation Appliance

- Cisco Network Analysis Module

- Cisco Packet Tracer

- Cisco Policy Suite

- Cisco Prime Access Registrar

- Cisco Prime Central Fault Manager

- Cisco Prime Central

- Cisco Prime Collaboration Assurance

- Cisco Prime Collaboration Deployment

- Cisco Prime Collaboration Provisioning

- Cisco Prime Data Centerネットワークマネージャ

- Cisco Prime Home

- Cisco Prime IP Express

- Cisco Prime Infrastructure

- Cisco Prime LAN Management Solution - Solaris

- Cisco Network Configuration and Change Management

- Cisco Prime Network Registrar IP アドレス マネージャ（IPAM）

- Cisco Prime Network Registrar

- Cisco Prime Network Services Controller

- Cisco Prime Network

- Cisco Prime Opticalサービス プロバイダー向け

- Cisco Prime Performance Manager

- Cisco Prime サービス カタログ

- Cisco Security Manager

- Cisco Smart Net Total Care - ローカル コレクタ アプライアンス

- Cisco Tidal Performance Analyzer

- Cisco UCS Central ソフトウェア

- Smart Connected Home

Routing and Switching - Enterprise and Service Provider

- Cisco ASR 5000 シリーズ

- Cisco Broadband Access Center for Telco and Wireless

- Cisco Connected Grid ルータ

- Cisco IOS XR ソフトウェア

- Cisco IOSおよびCisco IOS XEソフトウェア

- Cisco MDS 9000 Series Multilayer Switches

- Cisco Nexus 1000V InterCloud

- Cisco Nexus 1000V シリーズ スイッチ

- VMware vSphere向けCisco Nexus 1000Vスイッチ

- Cisco Nexus 3000 Series Switches

- Cisco Nexus 4000 Series Blade Switches

- Cisco Nexus 5000 Series Switches

- Cisco Nexus 6000 Series Switches

- Cisco Nexus 7000 Series Switches

- Cisco Nexus 9000 シリーズ ファブリック スイッチ（ACI モード）

- Cisco Nexus 9000 シリーズ スイッチ（スタンドアロン、NX-OS モード）

- Cisco ONS 15454 Series Multiservice Provisioning Platforms

- Cisco Service Control Operating System

- Cisco Universal Small Cell 5000シリーズCisco Universal Small Cell 7000シリーズ

- Cisco UniversalスモールセルIuh

ルーティングおよびスイッチング - スモール ビジネス

- Cisco 220シリーズSmart Plus(Sx220)スイッチ

- Cisco 500シリーズスタッカブル(Sx500)マネージドスイッチ

- Cisco Small Business 300シリーズ(Sx300)マネージドスイッチ

Unified Computing

- Cisco Common Services Platform Collector

- Cisco UCS 6200 シリーズ ファブリック インターコネクト

- Cisco UCS 6200シリーズおよび6300シリーズファブリックインターコネクト

- Cisco UCS Bシリーズブレードサーバ

- Cisco UCS Director

- Cisco UCS Manager

- Cisco UCS スタンドアロン C シリーズ ラック サーバ - 統合管理コントローラ

- Cisco Virtual Security Gateway for Microsoft Hyper-V

- Cisco Virtual Security Gateway

音声およびユニファイド コミュニケーション デバイス

- Cisco ATA 190シリーズアナログターミナルアダプタ

- Cisco Agent Desktop for Cisco Unified Contact Center Express

- Cisco Agent Desktop

- Cisco DX シリーズ IP フォン

- Cisco Enterprise Chat and Email

- Cisco IP Interoperability and Collaboration System (IPICS)

- Cisco Jabber for iPhone and iPad

- Cisco Paging Server（Informacast）

- Cisco Paging Server

- Cisco SPA112 2-Port Phone Adapter

- Cisco SPA122 Analog Telephone Adapter(ATA)およびルータ

- Cisco SPA232D Multi-Line DECTアナログ電話アダプタ(ATA)

- Cisco SPA51x IP Phone

- Cisco SPA525G 5回線IP電話

- Cisco Small Business SPA300シリーズIP Phone

- Cisco Small Business SPA500シリーズIP Phone

- Cisco UC Integration for Microsoft Lync

- Cisco Unified Attendant Console Advanced

- Cisco Unified Attendant Console Business Edition

- Cisco Unified Attendant Console Department Edition

- Cisco Unified Attendant Console Enterprise Edition

- Cisco Unified Attendant Console Premium Edition

- Cisco Unified Attendant Console Standard

- Cisco Unified Communications Domain Manager

- Cisco Unified Contact Center Domain Manager

- Cisco Unified Contact Center Management Portal

- Cisco Unified Customer Voice Portal

- Cisco Unified E-Mail Interaction Manager

- Cisco Unified IP 6945電話

- Cisco Unified IP 7937電話

- サードパーティ コール制御向け Cisco Unified IP 8831 Conference Phone

- Cisco Unified Message Gateway

- Cisco Unified Survivable Remote Site Telephony Manager

- Cisco Unified Web Interaction Manager

- Cisco Unified Workforce Optimization - Quality Managementソリューション

- Cisco Unified Workforce Optimization

- Cisco Unity Express

- Cisco Virtualization Experience Media Edition

ビデオ、ストリーミング、テレプレゼンス、およびトランスコーディング デバイス

- Cisco 4300シリーズデジタルメディアプレーヤー

- Cisco 4400シリーズデジタルメディアプレーヤー

- Cisco Cloud Object Storage

- Cisco DCM Series D990x Digital Content Manager

- Cisco Edge 300 Digital Media Player

- Cisco Edge 340 Digital Media Player

- Cisco Enterprise Content Delivery System (ECDS)

- Cisco Expressway Series

- Cisco MXE 3500

- Cisco TelePresence Conductor

- Cisco TelePresence Content Server

- Cisco TelePresence ISDN Gateway 3241

- Cisco TelePresence ISDN Gateway MSE 8321

- Cisco TelePresence ISDN Link

- Cisco TelePresence MCU 4200 シリーズ、4500 シリーズ、5300 シリーズ、MSE 8420、および MSE 8510

- Cisco TelePresence MX Series

- Cisco TelePresence Profile Series

- Cisco TelePresence SX Series

- Cisco TelePresence Serial Gateway Series

- Cisco TelePresence Server 7010 および MSE 8710

- Cisco TelePresence Server on Multiparty Media 310および320

- Cisco TelePresence Server on Multiparty Media 820

- Cisco TelePresence Server on Virtual Machine

- Cisco TelePresence Supervisor MSE 8050

- Cisco TelePresence System 1000

- Cisco TelePresence System 1100

- Cisco TelePresence System 1300

- Cisco TelePresence System 3000 Series

- Cisco TelePresence System 500-32

- Cisco TelePresence System 500-37

- Cisco TelePresence System EX シリーズ

- Cisco TelePresence System TX1310

- Cisco TelePresence TX9000 シリーズ

- Cisco TelePresence Video Communication Server（VCS）

- Cisco Telepresence Integrator C シリーズ

- Cisco VDS-IS

- Cisco Video Surveillance 3000 Series IP Cameras

- Cisco Video Surveillance 4000 Series High-Definition IP Cameras

- Cisco Video Surveillance 4300E/4500E High-Definition IP Cameras

- Cisco Video Surveillance 6000 Series IP Cameras

- Cisco Video Surveillance 7000 Series IP Cameras

- Cisco Video Surveillance Media Server

- Cisco Video Surveillance PTZ IP Cameras

- Cisco Videoscape AnyRes Live

- Cisco Videoscape Voyager Vantage

- Tandberg Codian ISDN Gateway 3210、3220、および3240

- Tandberg Codian MSE 8320

ワイヤレス

- Cisco Aironet 1040 シリーズ アクセス ポイント

- Cisco Aironet 1130 AGシリーズアクセスポイント

- Cisco Aironet 1140 シリーズ アクセス ポイント

- Cisco Aironet 1200 シリーズ Access Points

- Cisco Aironet 1530 シリーズ アクセス ポイント

- Cisco Aironet 1550 シリーズ アクセス ポイント

- Cisco Aironet 1560 シリーズ アクセス ポイント

- Cisco Aironet 1570 シリーズ アクセス ポイント

- Cisco Aironet 1600 シリーズ アクセス ポイント

- Cisco Aironet 1700 シリーズ アクセス ポイント

- Cisco Aironet 1810 シリーズ OfficeExtend アクセス ポイント

- Cisco Aironet 1810w シリーズ アクセス ポイント

- Cisco Aironet 1815 シリーズ アクセス ポイント

- Cisco Aironet 1830 シリーズ アクセス ポイント

- Cisco Aironet 1850 シリーズ アクセス ポイント

- Cisco Aironet 2600 シリーズ アクセス ポイント

- Cisco Aironet 2700 シリーズ アクセス ポイント

- Cisco Aironet 2800 シリーズ アクセス ポイント

- Cisco Aironet 3500 シリーズ アクセス ポイント

- Cisco Aironet 3600 シリーズ アクセス ポイント

- Cisco Aironet 3700 シリーズ アクセス ポイント

- Cisco Aironet 3800 シリーズ アクセス ポイント

- Cisco Aironet 700 シリーズ アクセス ポイント

- Cisco Aironet 700Wシリーズアクセスポイント

- Cisco Industrial Wireless 3700シリーズアクセスポイント

- Cisco Mobility Services Engine

- Cisco ワイヤレス LAN コントローラ

シスコ ホステッド サービス

- Cisco Business Video Services Automation Software

- Cisco Cloud Web Security

- シスコのクラウドおよびシステム管理

- シスコデータセンター分析フレームワーク

- Cisco Deployment Automation Tool

- Cisco Network Health Framework

- Cisco Network Performance Analysis

- Cisco One Portal

- Cisco Partner Support Service 1.x

- Cisco Proactive Network Operations Center

- Cisco Registered Envelope Service

- Cisco Services Provisioning Platform

- Cisco Smart Care

- Cisco Smart Net Total Care - Contracts Information System Process Controller

- Cisco Smart Net Total Care – スマートインタラクション

- Cisco Smart Net Total Care

- Cisco Unified Service Delivery プラットフォーム

- Cisco Universal Small Cell CloudBaseファクトリリカバリルートファイルシステム

- Cisco WebEx Meeting Center

- Cisco WebEx Messenger Service

- Cisco WebEx Network Based Recording(NBR)Management

- OpenDNS

- SmartNet Total Care

詳細

Apache StrutsのJakartaマルチパートパーサーの脆弱性により、認証されていないリモートの攻撃者が該当システムで任意のコードを実行する可能性があります。

この脆弱性は、該当ソフトウェアのJakartaマルチパートパーサに基づいてファイルアップロードを実行する際に、 Content-Typeヘッダー値が不適切に処理されることに起因します。攻撃者は、悪意のあるファイルをアップロードするようにターゲットユーザを誘導することで、この脆弱性を不正利用する可能性があります。影響を受けるアプリケーションのJakartaマルチパートパーサーがファイルをアップロードすると、攻撃者は任意のコードを実行できる可能性があります。

セキュリティ侵害の痕跡

この脆弱性の不正利用を検出するために、シスコは Cisco IPS Signature Sig-ID 7872-0とSnort SID 41818、41819、41923、および41922をリリースしました。

回避策

利用可能な回避策は Cisco Bugs に記載されています。 Cisco Bug Search Tool で検索できます。

修正済みソフトウェア

シスコがリリースした無償ソフトウェア アップデートをインストールしたり、関連するサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェア バージョンとフィーチャ セットのみとなります。そのようなソフトウェアアップグレードをインストール、ダウンロード、アクセスまたはその他の方法で使用した場合、お客様は以下のリンクに記載されたシスコのソフトウェアライセンスの条項に従うことに同意したことになります。

http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html

また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシスコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

ソフトウェアのアップグレードを検討する際には、[シスコのセキュリティアドバイザリおよびアラート（Cisco Security Advisories and Alerts）] ページで入手できるシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。

サービス契約をご利用でないお客様

シスコから直接購入したが Cisco Service Contract をご利用いただいていない場合、また、サードパーティベンダーから購入したが修正済みソフトウェアを POS から入手できない場合は、Cisco TAC に連絡してアップグレードを入手してください。

http://www.cisco.com/c/ja_jp/support/web/tsd-cisco-worldwide-contacts.html

無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。

修正済みリリース

脆弱性が存在する各製品に対して、影響を受けるリリースと修正済みリリースを確認するには、製品によって特定される Cisco Bug を参照してください。これらのバグは本アドバイザリの「 脆弱性が存在する製品」の表に一覧されます。Cisco Bugs は、 Cisco Bug Search Tool で検索できます。

不正利用事例と公式発表

Cisco Product Security Incident Response Team(PSIRT)では、本アドバイザリに記載されている脆弱性がシスコ製品に対して悪用された事例は確認しておりません。

この脆弱性の公開エクスプロイトが入手可能です。

出典

この脆弱性は、Apacheによって次のアドバイザリで公開されました。https://cwiki.apache.org/confluence/display/WW/S2-045およびhttps://cwiki.apache.org/confluence/display/WW/S2-046

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170310-struts2

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.12

製品リストを更新。

「脆弱性のある製品」、「脆弱性を含んでいないことが確認された製品」

Final

2017年5月5日

1.11

製品リストを更新。

「脆弱性のある製品」、「脆弱性を含んでいないことが確認された製品」

Final

2017 年 4 月 19 日

1.10

製品リストを更新。

該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品

Final

2017 年 4 月 13 日

1.9

製品リストを更新。

該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品

Final

2017年3月28日

1.8

製品リストとサマリーおよびソース情報を更新。

概要、該当製品、脆弱性が存在する製品、脆弱性を含んでいないことが確認された製品、ソース

Interim

2017年3月23日

1.7

製品リストとSnort SID情報を更新。

該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品, セキュリティ侵害の痕跡

Interim

2017年3月21日

1.6

製品リストを更新。

該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品

Interim

2017 年 3 月 17 日

1.5

製品リストを更新。

該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品

Interim

2017 年 3 月 15 日

1.4

製品リストを更新。

該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品

Interim

2017年3月14日

1.3

製品リストを更新。

該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品

Interim

2017年3月13日

1.2

製品リストを更新。

Affected Products, Products Confirmed Not Vulnerable

Interim

2017年3月13日

1.1

製品リストを更新。

該当製品, 脆弱性が存在する製品, 脆弱性を含んでいないことが確認された製品

Interim

2017年3月11日

1.0

初回公開リリース

-

Interim

2017年3月10日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。