Informational

アドバイザリーID : cisco-sa-20191001-webex-enum

初公開日 : 2019-10-01 13:00

バージョン 1.0 : Final

回避策 : Yes

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Cisco WebEx Meetingsは、数百人の参加者をサポートするビデオ会議、画面共有、およびオンラインセミナー機能を提供するオンラインミーティングをホストするためのエンタープライズソリューションです。Cisco Webex Meetingsは、9桁の番号を使って使いやすい会議識別子を作成します。この会議IDは、あらゆる種類のエンドポイントから簡単に入力して会議に参加できます。

2019年7月24日、Cequence SecurityのShreyans MehtaとCQ Prime Research Teamは、攻撃者がWebex Meetings API呼び出しの1つを利用して、特定の時点でプラットフォーム上の組織が使用しているすべての会議番号を列挙できることをシスコに報告しました。

このアドバイザリは、次のリンクより確認できます。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191001-webex-enum

脆弱性のある製品

このアドバイザリに記載されている問題は、Cisco Webex Meetingsに影響を与えます。

脆弱性を含んでいないことが確認された製品

このアドバイザリの「脆弱性が存在する製品」セクションに記載されている製品のみが、この攻撃方法の影響を受けることが確認されています。

シスコは、オンプレミスの導入に使用されるCisco Webex Meeting Serverがこの動作を示さないことを確認しました。

詳細

会議を作成するプロセスの一環として、Webexは9桁のIDをランダムに生成して割り当てます。このIDは、招待者が後で会議に参加するときに使用できます。

Cequence SecurityのShreyans Mehta氏とCQ Prime Research Teamは、進行中または将来の会議のすべての会議番号を列挙するために、Webex APIコールの1つを使用できることをシスコに報告しました。呼び出されたAPIコールに対する応答により、攻撃者は次のことを判断できます。

- 特定の会議番号が使用されているかどうか

- 会議がパスワードで保護されているかどうか

攻撃者は、収集した情報を使用して、パスワードで保護されていない会議への参加を試みる可能性があります。攻撃者がこの情報を使用して会議に参加した場合でも、参加者としてリストされ、ホストによって退席させられる可能性があります。パスワードで保護された会議の場合、攻撃者は会議番号を回復できますが、会議のタイトル、スケジュール、ホスト名を明らかにしたり、会議に参加したりすることはできません。

不正利用事例と公式発表

Cisco Product Security Incident Response Team(PSIRT)では、本アドバイザリに記載されている攻撃方法の不正利用事例は確認しておりません。

出典

シスコは、この攻撃方法を報告していただいたCequence SecurityのShreyans Mehta氏とCQ Prime Research Teamに感謝いたします。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191001-webex-enum

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.0

初回公開リリース

-

Final

2019年10月1日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。