ニュース
Cisco、Google Chrome向け拡張機能「WebEx」の深刻な脆弱性を修正
悪用された場合、攻撃者が特定のパターンのURLをWebサイトに仕込んでユーザーに参照させ、WebExセッションを開始させることによって任意のコードを実行できてしまう恐れがある。
米CiscoのGoogle Chrome向け拡張機能「WebEx」に深刻な脆弱性が発見され、Ciscoが1月24日に更新版を公開し、問題を修正したことを明らかにした。
WebExはCiscoのWeb会議用ソフトウェアをベースとする拡張機能で、のべ2000万ユーザーが利用しているという。脆弱性はGoogleの研究者が発見し、Project Zeroを通じて1月21日付で詳しい情報やコンセプト実証コードを公開した。
悪用された場合、攻撃者が特定のパターンのURLをWebサイトに仕込んでユーザーに参照させ、WebExセッションを開始させることによって、任意のコードを実行できてしまう恐れがある。問題のパターンをiframeに隠してユーザーの目には見えないようにすることも可能だという。
この問題を発見したGoogleの研究者は、「90日以内にパッチが公開されなければ、情報を一般に公開する」と通告していた。
Ciscoによれば、脆弱性はWebExのバージョン1.0.5で修正された。1月24日の時点で悪用された事例は確認されていないという。
関連記事
- Cisco IOSなどに新たな脆弱性、ファイアウォールにも影響
ハッカー集団から流出したハッキングツールで悪用されていたのと同様の脆弱性がその後の調査で発覚した。Ciscoはソフトウェアアップデートの公開を予定している。 - Cisco、危険度最高値「10.0」の脆弱性など多数修正
「Cisco Prime Infrastructure」および「Cisco Evolved Programmable Network Manager」(EPNM)と、「Cisco Prime Collaboration Provisioning」にそれぞれ極めて危険度の高い脆弱性が存在する。 - Cisco製品にまた固定パスワードの脆弱性、「DROWN」問題の対応も説明
Cisco製スイッチのアカウントに固定パスワードが設定される極めて深刻な脆弱性に対処。OpenSSLやGNU glibcの脆弱性についても対応状況を説明している。 - Cisco ASAシリーズに深刻な脆弱性、CVSS値は最大
危険度はCVSS最大値の10.0に達する。UDPパケット1つで悪用できてしまう恐れもあり、500番UDPポートは既にトラフィックの増大が見られるという。 - シスコ、中小企業向けにテレワーク支援などのサービスを追加
中小企業向けブランド「Cisco Start」で展開する製品に複数のクラウドサービスを追加した。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.