脆弱ライブラリ同梱した「Apache Struts」、「Webex」などCisco製品にも影響

「Apache Struts 2.3」系の最新版となる「Apache Struts 2.3.36」に、脆弱性を含むライブラリ「Commons FileUpload」が含まれていることが明らかとなった問題で、Cisco Systemsは同社製品への影響を明らかにした。

Cisco Systemsによるアドバイザリ

2018年10月15日にリリースされた「Apache Struts 2.3.36」や以前のバージョンに含まれる「Commons FileUpload」ライブラリに、重要度が「クリティカル（Critical）」とされる脆弱性「CVE-2016-1000031」が含まれることが明らかとなったもの。

ライブラリ「Commons FileUpload」の脆弱性そのものは、2017年6月に公開された「同1.3.3」で解消済みだが、「Apache Struts 2.3.36」には脆弱なバージョンが同梱されているとし、開発チームではライブラリをアップデートするよう注意喚起を行っている。

同問題を受け、Cisco Systemsでは、「Cisco Webex Meetings Server」「Cisco Unified Communications Manager」「Cisco Enterprise Chat and Email」をはじめ、30製品以上が同脆弱性の影響を受けることを公表した。

同社では、アドバイザリにおいて修正パッチのリリース計画についても明らかにしており、製品によって提供時期は異なるものの、11月から順次リリースしていくという。

ただし、一部製品では2019年5月のリリースとなるものや、アップデートのリリース予定がないものも含まれる。脆弱性の影響を受ける製品は以下のとおり。

Cisco SocialMiner
Cisco Webex Meetings Server
Cisco Webex Management
Cisco Identity Services Engine
Cisco Secure Access Control System
Cisco Prime Collaboration Provisioning
Cisco Prime Infrastructure
Cisco Prime License Manager
Cisco Prime Network Registrar IP Address Manager
Cisco Prime Network
Cisco Prime Service Catalog
Cisco IOx Fog Director
Cisco IoT Field Network Director
Cisco Emergency Responder
Cisco Enterprise Chat and Email
Cisco Finesse
Cisco Hosted Collaboration Mediation Fulfillment
Cisco Hosted Collaboration Solution for Contact Center
Cisco MediaSense
Cisco Unified Communications Manager IM & Presence Service
Cisco Unified Communications Manager
Cisco Unified Contact Center Enterprise
Cisco Unified Contact Center Express
Cisco Unified E-Mail Interaction Manager
Cisco Unified Intelligence Center
Cisco Unified Intelligent Contact Management Enterprise
Cisco Unified Web Interaction Manager
Cisco Unity Connection
Cisco Virtualized Voice Browser
Cisco Video Distribution Suite for Internet Streaming
Cisco Mobility Services Engine
Cisco Universal Small Cell RAN Management System
Cisco Prime Network Change and Configuration Management
Cisco Smart Connected Spaces
Cisco Smart Net Total Care
Cisco Webex Centers
Cisco Webex Meetings

（Security NEXT - 2018/11/27 ）ツイート

脆弱ライブラリ同梱した「Apache Struts」、「Webex」などCisco製品にも影響

関連リンク

PR

関連記事