Jabberがチャットボットのコンテンツをレンダリングできない場合のトラブルシューティング

概要

このドキュメントでは、Jabberコードの変更後にチャットボットのコンテンツのレンダリングに関するCisco Jabberの問題をトラブルシューティングする方法について説明します。

背景説明

Jabberクライアントには、Cisco Jabber Botを組み込むことができます。Cisco Jabber Botは、Cisco Instant Messaging and Presence(IM&P)メッセージプラットフォームまたはCisco Webex Messenger Server上でインタラクティブな会話ボットを実装するためのフレームワークおよびツールキットを提供するソフトウェア開発キット(SDK)を使用して開発されました。基本的なJabberボットを取得するように設定できる特定のHyperText Markup Language(HTML)タグがあります。

Jabberのバージョンが12.9.4以前の場合、チャットボットは図のように表示され、Jabberにはフォントコードに記載されているすべてのボタンとオプションを表示する機能があります。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Cisco Jabber
• Cisco Jabber Bot SDK

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• Jabberバージョン12.9.X
• Jabberバージョン14.X

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

問題 

Jabberクライアントのバージョンが12.9.5、14.0以降の場合、2022年3月に公開された脆弱性(CVE-2020-3155)が原因で、Jabberはチャットボットのコンテンツをクライアントインターフェイスに表示する際にレンダリングできなくなっています。

この機能により、Jabberは中間者攻撃(MITM)に対して脆弱になります。影響を受けるクライアントとエンドポイント間のトラフィックを代行受信し、偽造された証明書を使用してエンドポイントを偽装します。この不正利用により、攻撃者は共有されているプレゼンテーションコンテンツを表示したり、被害者が提示するコンテンツを変更したり、コール制御にアクセスしたりできる可能性があります。これは、エンドポイントの設定によって異なります。

この脆弱性により、開発者はHTMLコードタグ内のJabberのいくつかの要素がチャットボットを形成することを可能にするセキュリティルールを導入しました。

脆弱性が存在する前は、ボットメッセージに対するセキュリティチェックは行われていませんでしたが、前回の脆弱性セキュリティ変更の後は、新しいセキュリティメカニズムによってボットメッセージがチェックされるようになりました。

セキュリティルールは、次に許可されるタグとスタイル属性で構成されます。

許可されるタグ。

{"span", "font", "a", "br", "strong", "em", "u","div", "table", "tbody", "tr", "td", "h1", "h2", "h3", 
"h4", "h5", "h6", "b", "p","i", "blockquote", "ol", "li", "ul", "pre", "code"} 

使用できるスタイル属性。

{"font", "text-decoration", "color", "font-weight", "font-size", "font-family", "font-style"}

許可されていないタグ。

{“label”, “button”, “select”, “form”} 

解決方法

Cisco Jabberのボット宣言に前述の許可されていないタグの一部またはすべてが含まれている場合、解決策はHTMLコードからそれらのタグを消去することです。ただし、ボットが動作するために必要な場合は、コンフィギュレーションキーが必要です。

同時に脆弱性を回避するために、前述のスタイル属性と許可タグで作成された従来のチャットボットを使用することができます。 

Jabberセキュリティ修正プログラムから、許可リスト外のその他すべてのフォントスタイルまたは属性を受け入れることができません。そのため、チャットボットの属性を変更して、その属性を含める必要があります。

それでもチャットボットを通常どおり使用する必要がある場合は、許可されていないタグとともに、jabber-config.xmlファイル（Jabber設定ファイル）に追加できるHTMLレンダオプション設定キーがあることを意味します。

• hardening_xmpp_bot：例の行のように「FALSE」に設定します。

例： <hardening_xmpp_bot>FALSE</hardening_xmpp_bot>

確認

現在、この設定に使用できる確認手順はありません。

トラブルシュート

現在のところ、この設定に関する特定のトラブルシューティング情報はありません。

関連情報