Cisco WebEx ブラウザ拡張機能リモートコード実行の脆弱性

Size: px

Start display at page:

Download "Cisco WebEx ブラウザ拡張機能リモートコード実行の脆弱性"

みひないなくら
5 years ago
Views:

1 Cisco WebEx ブラウザ拡張機能リモートコード実行の脆弱性 Critical アドバイザリー ID : cisco-sa webex 初公開日 : :30 最終更新日 : :53 バージョン 1.1 : Final CVSSスコア : 8.8 回避策 : No workarounds available Cisco バグ ID : CSCvc88535 CSCvc95044 CSCvc95034 CSCvc88194 CSCvc95037 CSCvc86959 CVE 日本語による情報は英語による原文の非公式な翻訳であり英語原文との間で内容の齟齬がある場合には英語原文が優先します概要 Cisco WebEx ブラウザ拡張機能の脆弱性はリモート攻撃者非認証が影響を受けたシステムの影響を受けたブラウザの特権の任意のコードを実行するようにする可能性がありますこの脆弱性は Microsoft Windows. で動作しているとき Cisco Webex ミーティングサーバおよび Cisco WebEx センター ( 会合センターイベントセンタートレーニングセンターおよびサポートセンター ) のためのブラウザ拡張機能に影響を与えます脆弱性はプラグイン内のインターフェイス (API) 応答パーサーをプログラムするアプリケーションの設計問題が原因です影響を受けたユーザを攻撃者制御 Webページを参照するかまたは影響を受けたブラウザと攻撃者供給されたリンクに従うように確信できる攻撃者は脆弱性を不正利用する可能性があります成功すると攻撃者は被侵害ブラウザの権限を使用して任意のコードを実行することができますこの脆弱性に対処する Cisco Google Chrome のためのソフトウェアアップデートを Firefox および Internet Explorer はリリースしましたこの脆弱性に対処する回避策はありませんこのアドバイザリは次のリンクより確認できます該当製品

2 脆弱性のある製品この脆弱性はほとんどのサポートされたブラウザで動作するとき Windows のための Cisco WebEx 拡張機能およびプラグインに影響を与えます影響を受けたブラウザは Google Chrome Mozilla Firefox および Windows のための Internet Explorer ですこのドキュメントで説明する脆弱性の影響を受ける Cisco WebEx ブラウザ拡張機能のバージョンは次のとおりです Google Chrome の Cisco WebEx 拡張の以前のバージョン Mozilla Firefox の ActiveTouch 概要差込式コンテナーの 106 以前のバージョン Internet Explorer の GpcContainer クラス ActiveX コントロールプラグインの最初の修正済みバージョン以前のバージョン - 修正済みソフトウェアのセクションを参照して下さい Internet Explorer のダウンロードマネージャ ActiveX コントロールプラグインの以前のバージョン顧客は続くことは Cisco WebEx 拡張機能のどのバージョン下記に記載されているステップによって利用されてであるか判別できます : Google Chrome Google Chrome バージョンのための Cisco WebEx 拡張は 2017 年 1 月 26 日リリースされこの脆弱性のための修正が含まれています Chrome ユーザの場合 Google Chrome 向け Cisco WebEx 拡張機能の修正バージョンが使用されているか確認するには以下の手順を実行します 1. Chrome では Settings ページを開いて下さい 2. 拡張機能をクリックして下さい拡張機能のバージョンは Cisco WebEx 拡張機能の名前の隣に表示されますプラグインが含まれているホストを識別するのに組織が使用できる Google Chrome 識別ストリングのための Cisco WebEx 拡張は次です : Jlhmfgmfgeifomenelglieieghnjghma Mozilla Firefox Mozilla Firefox のための ActiveTouch 一般の差込式容器のバージョン 106 は 2017 年 1 月 28 日リリースされこの脆弱性のための修正が含まれています Mozilla ユーザは Mozilla のために使用しています ActiveTouch 一般の差込式コンテナーの修正済みバージョンを下記によって彼らを確認できます : 1. menu ボタン ( アプリケーションの甲革権利の 3 つの鉄棒 ) および追加項目を選択することをクリックします 2. 追加項目 (Manager) タブでプラグインパネルをクリックして下さい 3. ActiveTouch 一般の差込式コンテナーをプラグインのリストで取付けバージョン情報を得るためにより多くのリンクをクリックして下さいプラグインが含まれているホストを識別するのに組織が使用できる Mozilla Firefox 識別ストリ

3 ングのための Cisco WebEx NPAPI プラグインは次です : atgpccontrol Microsoft Internet Explorer Microsoftインターネットエクスプローラのための Cisco WebEx プラグインのバージョンは 2017 年 1 月 28 日リリースされこの脆弱性のための修正が含まれています Internet Explorer のプラグインの登録済みの名前はプラグインに使用するインストール方式に基づいて異なるかもしれませんプラグインの修正済みバージョンはアップデートを提供した Cisco WebEx のバージョンによって決まりますアップデートは WebEx ミーティング参加時に Web 経由で適用されているかまたは MSI ファイル経由でクライアントのローカルアップデートによって適用されている可能性があります Internet Explorer ユーザは Internet Explorer のために使用していますプラグインの修正済みバージョンを下記によって彼らを確認できます : 1. Internet Explorer で Tools ボタンを選択して下さい 2. 追加項目を Manage を選択して下さい 3. 提示ドロップダウンメニューからの追加項目を All を選択して下さい 4. Cisco WebEx LLC の下でダウンロードマネージャか GpcContainer クラス追加項目を選択して下さいバージョン番号は管理追加項目ウィンドウの下部ので表示するこのアドバイザリの修正済みソフトウェアのセクションの固定差込式バージョンの表を参照して下さい Microsoft インターネットエクスプローラクラス ID (CLSID) プラグインが含まれているホストを識別するのに組織が使用できるのための Cisco WebEx ActiveX プラグインは次です : E06E2E99-0AA1-11D4-ABA AA75C 脆弱性を含んでいないことが確認された製品他のシスコ製品においてこのアドバイザリの影響を受けるものは現在確認されていません Cisco WebEx 生産性ツールはこの脆弱性から影響を受けません Cisco はこの脆弱性が Mac または Linux のための Cisco WebEx ブラウザ拡張機能に影響を与えないまたは Microsoft Edge の Cisco WebEx ことを確認しました回避策この脆弱性に対処する回避策はありませんただし Microsoft Edge がこの脆弱性から影響を受けないので Windows 10 システムの管理者およびユーザは WebEx セッションに加入し加わるのに Microsoft Edge を利用するかもしれませんさらに管理者およびユーザは Windows システムから会議サービス削除ツールのから利用可能である使用によってすべての WebEx ソフトウェアを取除くことができます環境で現在 Web プロキシか Web ゲートウェイを持っている顧客は次の状態と一致する Web 要

4 求をブロックするために URL フィルタリングポリシーを作成できます : ストリングを示す URL 要求は "cwcsf nativemsg I フレーム43c85c0d d633 af5e c056 32dc7efc570b.html" を模造しますおよび既知顧客の WebEx サイト URL ( 43c85c0d-d633-af5e-c056-32dc7efc570b.html) の例えば company.webex.com と一致しない URL ホスト名修正済みソフトウェアシスコはこのアドバイザリに記載された脆弱性に対処する無償のソフトウェアアップデートを提供していますお客様がインストールしたりサポートを受けたりできるのはライセンスをご購入いただいたソフトウェアバージョンとフィーチャセットに対してのみとなりますそのようなソフトウェアアップグレードをインストールダウンロードするまたはアクセスしたりその他の方法で使用する場合お客様は以下のリンクに記載されたシスコのソフトウェアライセンスの条項に従うことに同意したことになりますまたお客様がソフトウェアをダウンロードできるのはソフトウェアの有効なライセンスをシスコから直接あるいはシスコ認定リセラーやパートナーから取得している場合に限ります通常これは以前購入したソフトウェアのメンテナンスアップグレードです無償のセキュリティソフトウェアアップデートによってお客様に新しいソフトウェアライセンス追加ソフトウェアフィーチャセットまたはメジャーリビジョンアップグレードに対する権限が付与されることはありませんソフトウェアのアップグレードを検討する際には Cisco Security Advisories and Alerts ページで入手できるシスコ製品のアドバイザリを定期的に参照して侵害を受ける可能性と完全なアップグレードソリューションを確認してくださいいずれの場合もアップグレードするデバイスに十分なメモリがあることおよび現在のハードウェアとソフトウェアの構成は新規リリースでも継続して適切なサポートが受けられることを確認してください不明な点については Cisco Technical Assistance Center(TAC) もしくは契約しているメンテナンスプロバイダーにお問い合わせくださいサービス契約をご利用でないお客様シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合またサードパーティベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は Cisco TAC に連絡してアップグレードを入手してください無償アップグレードの対象製品であることを証明していただくために製品のシリアル番号と

5 本アドバイザリの URL をご用意ください修正済みリリース以下の製品についての最新情報に関しては提供される Cisco バグ ID を参照して下さい : Cisco WebEx Meeting Center: CSCvc86959 Cisco WebEx Event Center: CSCvc95037 Cisco WebEx Training Center: CSCvc95034 Cisco WebEx Support Center: CSCvc95044 Cisco WebEx Meetings Server: CSCvc88194 Cisco WebEx Meetings: CSCvc88535 ブラウザプラグイン更新 Google Chrome Google Chrome バージョンのための Cisco WebEx 拡張は 2017 年 1 月 26 日リリースされこの脆弱性のための修正が含まれています Chrome ユーザの場合 Google Chrome 向け Cisco WebEx 拡張機能の修正バージョンが使用されているか確認するには以下の手順を実行します 1. Chrome では Settings ページを開いて下さい 2. 拡張機能をクリックして下さい 3. 開発者 Mode チェックボックスを選択して下さい 4. 拡張機能を今 Update をクリックして下さい 5. Chrome ブラウザを再起動して下さい Firefox Microsoftインターネットエクスプローラおよび Mozilla Cisco は Microsoftインターネットエクスプローラおよび Mozilla のための Firefox 更新済プラグインを 2017 年 1 月 28 日その解決この脆弱性リリースしましたプラグインは WebEx サイトが修正済みバージョンにアップグレードされた後各 WebEx 製品と関連付けられる Cisco WebEx クライアントパッケージの一部として利用できダウンロードして利用できますアップグレードされたクライアントはアップグレードが実行された後各サイトのダウンロードセクションから利用できます更新済みクライアントソフトウェアのないアップグレード済みサイトに接続しているユーザの場合オンラインアップグレードの実行を促す指示が出ることがあります顧客はブラウザ差込式アップグレードが Microsoft インターネットエクスプローラおよび Mozilla のために Firefox ことを次の手順を使用することによって正常だったことを確認することができます : Microsoft Internet Explorer Microsoft インターネットエクスプローラのための Cisco WebEx プラグインは 2017 年 1 月 28 日

6 リリースされこの脆弱性のための修正が含まれています Internet Explorer のプラグインの登録済みの名前はプラグインに使用するインストール方式に基づいて異なるかもしれませんプラグインのバージョンはアップデートを提供した Cisco WebEx のバージョンによって決まりますアップデートは WebEx ミーティング参加時に Web 経由で適用されているかまたは MSI ファイル経由でクライアントのローカルアップデートによって適用されている可能性があります Cisco WebEx のあらゆるバージョンからのプラグインの修正済みバージョンはインストールされている場合 Cisco WebEx の別の修正済みバージョンによってインストールされたバージョンにダウングレードし変更されません Internet Explorer ユーザは Internet Explorer のために使用していますプラグインの修正済みバージョンを下記によって彼らを確認できます : 1. Internet Explorer で Tools ボタンを選択して下さい 2. 追加項目を Manage を選択して下さい 3. 提示ドロップダウンメニューからの追加項目を All を選択して下さい 4. Cisco WebEx LLC の下でダウンロードマネージャか GpcContainer クラス追加項目を選択して下さい 5. ダウンロードマネージャバージョンか GpcContainer クラスバージョンがまたはそれ以降として示すまたは次のテーブルのバージョンストリングの 1 つこと検証して下さい : バージョン番号は管理追加項目ウィンドウの下部ので表示する Cisco WebEx Major Version 固定 GPC コンテナーバージョン T T T T T T T T T T T T T T T T Mozilla Firefox ActiveTouch 概要差込式容器のバージョン 106 ( ) Mozilla のために Firefox は 2017 年 1 月 28 日リリースされこの脆弱性のための修正が含まれています Mozilla ユーザは

7 Mozilla のために使用しています ActiveTouch 一般の差込式コンテナーの最初の固定またはそれ以降バージョンを下記によって彼らを確認できます : 1. menu ボタン ( アプリケーションの甲革権利の 3 つの鉄棒 ) および追加項目を選択することをクリックします 2. 追加項目 (Manager) タブでプラグインパネルをクリックして下さい 3. ActiveTouch 一般の差込式コンテナーをプラグインのリストで取付けバージョン情報を得るためにより多くのリンクをクリックして下さい Cisco WebEx Meeting Center バージョンアップの検証 Cisco は修正済みバージョンに以下の製品のすべてのロック解除された顧客をアップグレードしました : Cisco WebEx Meeting Center Cisco WebEx Event Center Cisco WebEx Training Center Cisco WebEx Support Center Cisco WebEx Meetings Cisco WebEx Meeting Center 製品のロックされたバージョンを利用している顧客は Cisco サービス担当者 (CSR) または Cisco パートナーとのアップグレードを求める必要があります現在の WebEx 顧客はサイトが WebEx ページことをのサポートセクションで見つけられるアプリケーションバージョン情報の確認によって更新済ソフトウェアを受け取ったことを確認できますこの情報を表示するために支持者ステップを実行して下さい : 1. WebEx アカウントにサインインします 2. [Meeting Center] タブをクリックします 3. [(Support)] [(Support)] 配下 [(Download)] アプリケーションバージョンは約会うセンター見出しの下の画面の右側で表示する Cisco WebEx Major Version 固定アプリケーションバージョン T またはそれ以降 T またはそれ以降 T E またはそれ以降 T E またはそれ以降 T E またはそれ以降 T E またはそれ以降 T E またはそれ以降 T E またはそれ以降 T E またはそれ以降 T E またはそれ以降 T E またはそれ以降 T E またはそれ以降 T E またはそれ以降

8 T E またはそれ以降 T E またはそれ以降 T E またはそれ以降注 : 導入済みサイトのアプリケーションバージョンとの互換性を確保するために Cisco WebEx 製品のすべてのライセンス済み機能に対するクライアントをアップグレードする必要があります単一のクライアントをアップグレードすることは CVE-3823 によって文書化されています脆弱性を解決します次のクライアントを使用できます Cisco WebEx Meeting Center クライアント Cisco WebEx Event Center クライアント Cisco WebEx Training Center クライアント Cisco WebEx Support Center クライアント Cisco WebEx Access Anywhere クライアント Cisco WebEx Remote Access クライアント Cisco Webex Meetings Server Cisco Webex ミーティングサーバを配置した顧客はで提供する Cisco オンサイト WebEx 更新済ソフトウェアをダウンロードするかまたは Cisco ソフトウェアのダウンロードページから次のオプションを選択できます : 製品 > 会議ソリューション > Web 会議 > WebEx Meetings サーバ Cisco Webex ミーティングサーババージョン 2.0 顧客は Cisco WebEx Meetings Server 2.5 またはそれ以降に移行する必要があります Cisco WebEx Meetings Server の次のリリースではこの脆弱性が修正されています WebEx Meetings サーバ 2.5MR6 パッチ 4 WebEx Meetings サーバ 2.6MR3 パッチ 2 WebEx Meetings サーバ 2.7MR2 パッチ 1 Cisco Webex ミーティングサーバクライアントパッケージはアップグレードされたソリューションの一部として利用できます不正利用事例と公式発表 Cisco 製品のセキュリティ上の問題に対する回答チーム (PSIRT) は進行中限られたのこの脆弱性の不正利用知らせられました出典この脆弱性は Google の Tavis Omandy によって Cisco に報告されました URL

9 改訂履歴バージョン説明セクションステータス Date 進行中限られた不正利用についての含まれた情報不正利用事例と公式発表 March 脆弱性が存在する製品および修正済みソフトウェアのセクションの更新済 Internet Explorer 情報該当製品修正済みソフトウェア Febru ary Microsoft インターネットエクスプローラのための追加された追加差込式識別情報製品のリストへの追加された Cisco WebEx 生産性ツールは影響を受けなかった確認しました該当製品修正済みソフトウェア y Affected Products セクションの影響を受けたブラウザのための追加された追加差込式識別情報修正済みソフトウェアのセクションに追加される追加明白になる情報すべてのクライアントの展開されたサイトアプリケーションバージョンと互換性があるためにアップグレードについての追加された情報 Cisco WebEx Meetings Server 2.0 顧客向けの追加された製品ステータス情報該当製品修正済みソフトウェア y Internet Explorer のための正しいバージョン情報を用いる更新済該当製品および修正済みソフトウェア該当製品修正済みソフトウェア y WebEx サイトおよびカスタマプレマイズインストールのための固定アプリケーションバージョンの更新済修正済みソフトウェア表修正済みソフトウェア y すべてのブラウザ拡張機能に更新を反映する更新済要約 Firefox および Internet Explorer ブラウザに更新を反映する更新済脆弱性が存在する製品拡張リリース WebEx サイトのための固定アプリケーションバージョンの修正済みソフトウェアソフトウェアインストールおよび表を確認するために Firefox および Internet Explorer ステップが含まれる更新済修正済みソフトウェア要約脆弱性が存在する製品修正済みソフトウェア Inte rim y Firefox についての情報が含まれる更新済要約ブラウザ拡張識別についての追加詳細が含まれる更新済脆弱性が存在す要約脆弱性が存在する製品脆弱性が存在しない製品修正済みソフトウェア Inte rim y-27

10 る製品 Cisco WebEx 拡張アップデートが含まれる更新済要約利用可能な追加された Cisco WebEx Meetings 不具合である Chrome のための Cisco WebEx 拡張アップデートを反映する更新済修正済みソフトウェアもはや Chrome を反映する更新済脆弱性が存在する製品 Chrome を反映する更新済脆弱性が存在しない製品よりよく脆弱性を説明する更新済詳細修正が現在利用できないことを示す更新済修正済みソフトウェア情報 Chrome バージョンのために差込式 WebEx の前のリリースは不完全でした 1.0 初回公開リリース利用規約要約脆弱性が存在する製品脆弱性が存在しない製品修正済みソフトウェア要約脆弱性が存在する製品修正済みソフトウェア Inte rim Inte rim Inte rim y-26 y-25 y-24 本アドバイザリは無保証のものとしてご提供しておりいかなる種類の保証も示唆するものではありません本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとしますまたシスコは本ドキュメントの内容を予告なしに変更したり更新したりする権利を有します本アドバイザリの記述内容に関して情報配信の URL を省略し単独の転載や意訳を施した場合当社が管理した情報とは見なされませんそうした情報は事実誤認を引き起こしたり重要な情報が欠落していたりする可能性がありますこのドキュメントの情報はシスコ製品のエンドユーザを対象としています

ユーザシステム要件

ユーザシステム要件ユーザシステム要件会議を主催したり会議にアクセスするためのエンドユーザのシステム要件共通の PC システム要件, 1 ページ Windows のオペレーティングシステム要件, 3 ページ MAC のオペレーティングシステム要件, 6 ページモバイルデバイスのオペレーティングシステム要件, 7 ページ Citrix XenDesktop および XenApp のサポート, 7 ページ

Cisco WebEx ブラウザ拡張機能リモート コード実行の脆弱性

Cisco WebEx ブラウザ拡張機能リモートコード実行の脆弱性