目次

要約
該当製品
詳細
影響
ソフトウェアバージョンおよび修正
修正ソフトウェアの入手
回避策
不正利用事例と公表
この通知のステータス: FINAL
情報配信
更新履歴
シスコ セキュリティ手順

要約

Wireless LAN Solution Engine (WLSE) と Hosting Solution Engine (HSE) ソフトウェアすべてのリリースにおいて、デフォルトのユーザネームとパスワードのペアが存在します。そのデフォルトのユーザネームを使用してログインしたユーザは完全にデバイスを管理する権限を持つことができます。このユーザネームは disable にすることができません。この問題に対する回避策はございません。

このセキュリティ勧告は以下の URL からご覧いただけます。
http://www.cisco.com/warp/public/707/cisco-sa-20040407-username.shtml

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先いたします。

該当製品

WLSE 2.0, 2.0.2, 2.5 ソフトウェアリリース
HSE 1.7, 1.7.1, 1.7.2, 1.7.3 ソフトウェアリリース

詳細

WLSE と HSE の該当するすべてのソフトウェアリリースであらかじめパスワードとユーザネームのペアが設定されておりこの問題の影響を受けます。

この脆弱性に関する問題は WLSE においては バグ ID CSCsa11583、HSE に関しては CSCsa11584 として Cisco Bug Toolkit
(登録しているお客様のみご使用になれます) で情報提供しております。

CiscoWorks WLSE によって シスコワイヤレス LAN　インフラの集中管理をすることができます。WLSE はソリューションにおける他のコンポーネントを一元化して、継続的な"無線周波数"の監視、ネットワークセキュリティおよび最適化を積極的に行います。CiscoWorks WLSE は大量の設定情報の実装、障害の監視、警告を自動化、単純化するのに役立ちます。

Cisco Hosting Solution Engine はハードウェアベースのソリューションであり、Cisco Powered データセンターにおいて 多種多様な e-business サービスの監視、稼動を行います。

Cisco Hosting Solution Engine はレイヤー 2-3 のホスティングインフラストラクチャとレイヤー 4-7 のホストサービスについて障害とパフォーマンスの情報を提供します。

影響

このユーザネームでログインするユーザは完全にデバイスを管理する権限を持ちます。そして新規ユーザの追加、既存のユーザの詳細内容の修正、機器の設定の変更をすることができます。このユーザでログインした場合にそのユーザがとりうる行動に関しまして下記に具体例を示します。

* WLSE においてはセキュリティを脅かす侵入者が Rogue アクセスポイントの存在を
　　隠蔽する、もしくは無線周波数の設定変更をすることが可能になってしまいます。
　　これにより潜在的にシステム全体を停止させられる可能性があります。
　　その際に第一に考えられるのが情報の機密性と完全性が長期間失われる可能性です。
　　第二に DOS (Denial-of-Service) を引き起こす可能性があります。

* HSE ではウェブサイトの不正なリダイレクトを招き、最終的に利益を
　　損ねる可能性があります。

* WLSE、HSE 双方において、初期プラットフォーム として使用されるデバイス
　　そのものがさらなる、攻撃にさらされる危険があります。
　　その攻撃が自己ネットワーク内、もしくは第三者のネットワークに対して
　　向けられる可能性もあります。

ソフトウェアバージョンおよび修正

WLSE においては WLSE-2.x-CSCsa11583-K9.zip パッチをインストールする必要があります。このパッチは

http://www.cisco.com/cgi-bin/tablebuild.pl/wlan-sol-eng

よりダウンロードすることができます。このパッチは WLSE 1130
2.0, 2.0.2 および 2.5 に適用することができます。

HSE においては HSE-1.7.x-CSCsa11584.zip パッチをインストールする必要があります。このパッチは
　http://www.cisco.com/cgi-bin/tablebuild.pl/1105-host-sol

よりダウンロードすることができます。このパッチは　HSE 1105 バージョン1.7, 1.7.1, 1.7.2, 1.7.3　に適用することができます。

修正ソフトウェアの入手

契約を有するお客様

通常の経路でアップグレードのためのソフトウェアを入手してください。ほとんどのお客様は、シスコのワールドワイドウェブサイト上のソフトウェアセンターから入手することができます。

http://www.cisco.com/tacpage/sw-center/

サードパーティによるサポートを受けているお客様

シスコパートナー、正規販売代理店等と、過去または現在の契約を通じてシスコ製品を購入、保守管理しているお客様は、その正規販売代理店を経由して無償ソフトウェアアップグレードを入手してください。

シスコサービス契約を結んでいないお客様

シスコから直接購入するもシスコサービス契約を結んでいないお客様、およびサードパーティーベンダーから購入し、そのベンダーから修正済ソフトウェアを入手できないお客様は、次に示す連絡先を通じてシスコ Technical Assistance Center (TAC) に連絡し、修正済ソフトウェアを入手してください。TAC への連絡先は以下の通りです。

+1 800 553 2447 (北米内からフリーダイヤル)

+1 408 526 7209 (北米以外からの有料通話)

e-mail: tac@cisco.com

無償アップグレード資格がある証拠として、製品のシリアル番号と、この通知の URL を提示してください。契約がないお客様の無償アップグレードは TAC を通して要求してください。

ソフトウェアのアップグレードに関し、"psirt@cisco.com" もしくは" security-alert@cisco.com" にお問い合わせいただくことはご遠慮ください。

ワークアラウンドの実装に関しまして支援が必要な場合、もしくは質問がございましたらシスコ Technical Assistance Center (TAC) にご連絡ください。

+1 800 553 2447 (北米内からフリーダイヤル)

+1 408 526 7209 (北米以外からの有料通話)

e-mail: tac@cisco.com

様々な言語に対応する各地域専用の電話番号やダイヤル手順、電子メールアドレスなど、その他の TAC 問い合わせ情報につきましては、こちらをご参照ください。

http://www.cisco.com/warp/public/687/Directory/DirTAC.shtml

お客様はご購入なさったフィーチャセットのインストールとサポートのみを期待なされるかもしれません。そうしたソフトウェアのアップグレードをダウンロード、入手、もしくは使用するにはお客様は

http://www.cisco.com/public/sw-license-agreement.html

におけるシスコソフトウェアライセンス条項の制約を受けること、もしくは

http://www.cisco.com/public/sw-center/sw-usingswc.shtml

における Cisco.com Downloads の公表に同意していただく必要があります。

回避策

回避策はございません。

不正利用事例と公表

この通知のステータス：Final

後述する情報配信の URL を省略し、本アドバイザリーの記述内容に関して、独自の複製・意訳を実施した場合には、事実誤認ないし重要な情報の欠落を含む統制不可能な情報の伝搬が行われる可能性があります。

情報配信

本アドバイザリーは、以下のシスコのワールドワイドウェブサイト上に掲載されます。

http://www.cisco.com/warp/public/707/cisco-sa-20040407-username.shtml

ワールドワイドのウェブ以外にも、次の電子メールおよび Usenet ニュースの受信者
向けに、この通知のテキスト版がシスコ PSIRT PGP キーによるクリア署名つきで投稿
されています。

* cust-security-announce@cisco.com
* bugtraq@securityfocus.com
* first-teams@first.org (includes CERT/CC)
* cisco@spot.colorado.edu
* comp.dcom.sys.cisco
* firewalls@lists.gnac.com

この通知に関する今後の最新情報は、いかなるものもシスコのワールドワイドウェブに掲
載される予定です。しかしながら、前述のメーリングリストもしくはニュースグループに
対し積極的に配信されるとは限りません。この問題に関心があるお客様は上記 URL にて最
新情報をご確認いただくことをお勧めいたします。

更新履歴

シスコ セキュリティ手順

シスコ製品におけるセキュリティの脆弱性の報告、セキュリティ事故に関する支援、およびシスコからセキュリティ
情報を入手するための登録方法につい て詳しく知るには、シスコワールドワイドウェブサイトの

http://www.cisco.com/warp/public/707/sec_incident_response.shtml

にアクセスしてください。 このページにはシスコのセキュリティ通知に関してメディアが問い合わせる際の指示が掲載されています。
全てのシスコセキュリティアドバイザリはhttp://www.cisco.com/go/psirt/ で確認することができます。