Summary
サマリー
A vulnerability exists in the IOS HTTP server in which HTML code inserted into dynamically generated output, such as the output from a show buffers command, will be passed to the browser requesting the page. This HTML code could be interpreted by the client browser and potentially execute malicious commands against the device or other possible cross-site scripting attacks. Successful exploitation of this vulnerability requires that a user browse a page containing dynamic content in which HTML commands have been injected.
弱点がショーからのアウトプットのような、動的に生成されたアウトプットに挿入された HTML コードがコマンドをバッファに入れて、ページを求めているブラウザに渡されるであろう IOS HTTP サーバーに存在します。 この HTML コードはクライアントブラウザによって翻訳されることができた、そして装置あるいは攻撃に備えている他の可能な十字サイトに対して潜在的に悪意があるコマンドを実行してください。 この弱点の成功した搾取がユーザーが HTML コマンドが投じられたダイナミックな内容を含んでいるページをブラウズすることを必要とします。
Cisco will be making free software available to address this vulnerability for affected customers. There are workarounds available to mitigate the effects of the vulnerability.
シスコはフリーソフトウェアを影響を受けた顧客のためにこの弱点をアドレスするためにアクセス可能であるようにしているでしょう。 弱点の効果を和らげるためにアクセス可能な回避策があります。
This advisory is posted at http://www.cisco.com/warp/public/707/cisco-sa-20051201-http.shtml
.
この助言は http://www.cisco.com/warp/public/707/cisco-sa-20051201-http.shtml において公表されます。
Affected Products
影響を受けたプロダクト
This security advisory applies to all Cisco products that run Cisco IOS Software versions 11.0 through 12.4 with the HTTP server enabled. A system which contains the IOS HTTP server or HTTP secure server, but does not have it enabled, is not affected.
このセキュリティー助言は、 HTTP サーバーが使用可能であるという状態で、シスコ IOS ソフトウェア１１.０から１２.４までのバージョンを走らせるすべてのシスコプロダクトに当てはまります。 IOS HTTP サーバーあるいは HTTP の安全なサーバーを含む、しかしそれを持っていないシステムが可能にされて、影響を受けません。
To determine if the HTTP server is running on your device, issue the show ip http server status and show ip http server secure status commands at the prompt and look for output similar to:
HTTP サーバーがあなたの装置上で走っているかどうか決定するために、ショー ip http サーバー状況を公表してください、そしてプロンプトにおいて ip http サーバーの安全なステータスコマンドを示してください、そして類似のアウトプットのために当てにしてください：
Router>show ip http server status HTTP server status: Enabled
ルーター ＞ ショー ip http サーバーステータス HTTP サーバーステータス：可能にされました
If the device is not running the HTTP server, you should see output similar to:
もし装置が HTTP サーバーを走らせていないなら、あなたは類似のアウトプットがそうするのが分かるべきです：
Router>show ip http server status HTTP server status: Disabled
ルーター ＞ ショー ip http サーバーステータス HTTP サーバーステータス：不能にされました
Any version of Cisco IOS prior to the versions which will be listed in the Fixed Software section below may be vulnerable.
バージョンの前に下の固定されているソフトウェアのセクションで上場されるであろうシスコ IOS のどんなバージョンでも傷つきやすいかもしれません。
Cisco IOS XR is not affected.
シスコ IOS XR は影響を受けません。
To determine the software running on a Cisco product, log in to the device and issue the show version command to display the system banner. Cisco IOS Software will identify itself as "Internetwork Operating System Software" or simply "IOS". On the next line of output, the image name will be displayed between parentheses, followed by "Version" and the IOS release name. Other Cisco devices will not have the show version command or will give different output.
シスコプロダクト上で走っているソフトウェアを決定するために、装置にログインして、そしてシステムバナーを表示するショーバージョンコマンドを出してください。 シスコ IOS ソフトウェアが「インターネットワークオペレーティングシステム・ソフトウェア」あるいはただ「IOS」としてそれ自身を識別するでしょう。 アウトプットの次のラインの上に、イメージ名前はカッコ、そしてそれに続いて「バージョン」と IOS リリース名の間に表示されるでしょう。 他のシスコ装置がショーバージョンコマンドを持っていないでしょう、あるいは異なったアウトプットを与えるでしょう。
The following example identifies a Cisco product running IOS release 12.3(6) with an installed image name of C3640-I-M:
次の例は C3640 - Ｉ－Ｍの就任するイメージ名前を持った IOS リリース１２.３（６）を走らせているシスコプロダクトを識別します：
Cisco Internetwork Operating System Software IOS (tm) 3600 Software (C3640-I-M), Version 12.3(6), RELEASE SOFTWARE (fc3)
シスコインターネットワークオペレーティングシステム・ソフトウェア IOS (tm) ３６００ソフトウェア（C3640 - Ｉ－Ｍ）、バージョン１２.３（６）、リリースソフトウェア（fc3）
The next example shows a product running IOS release 12.3(11)T3 with an image name of C3845-ADVIPSERVICESK9-M:
次の例は１２.３（１１）の C3845-ADVIPSERVICESK9 Ｍのイメージ名前を持った T3 １つのプロダクトを走らせている IOS リリースを示します：
Cisco IOS Software, 3800 Software (C3845-ADVIPSERVICESK9-M), Version 12.3(11)T3, RELEASE SOFTWARE (fc4) Technical Support: http://www.cisco.com/techsupport Copyright (c) 1986-2005 by Cisco Systems, Inc.
シスコ IOS ソフトウェア、３８００のソフトウェア（C3845-ADVIPSERVICESK9 Ｍ）、バージョン１２.３（11) T3 、リリースソフトウェア（fc4）技術サポート： http://www.cisco.com/techsupport シスコシステムズによってのコピーライト (c) １９８６-２００５社。
Additional information about Cisco IOS release naming can be found at http://www.cisco.com/warp/public/620/1.html
.
シスコ IOS リリースの指名についての追加のインフォメーションが http://www.cisco.com/warp/public/620/1.html において見いだされることができます。
No other Cisco products are currently known to be affected by the vulnerability addressed in this advisory.
他のどのようなシスコプロダクトも現在この助言でアドレスされた弱点で影響を受けていることを知られていません。
Details
細部
The Cisco IOS Web browser interface (which enables the device to perform as an HTTP server) allows configuration and monitoring of a router or access server using any web browser. This feature was introduced in IOS 11.0.
（装置に HTTP サーバーとして能力を発揮することができるようにする）シスコ IOS Web ブラウザインタフェースはどんな Web ブラウザでも使って形状とルーターあるいはアクセスサーバーのモニタリングを許します。 この特徴は IOS １１.０で導入されました。
A vulnerability exists in the IOS HTTP server in which HTML code inserted into dynamically generated output, such as the output from a show buffers command, will be passed to the browser requesting the page. This HTML code could be interpreted by the browser and potentially execute malicious commands against the device or other possible cross-site scripting attacks.
弱点がショーからのアウトプットのような、動的に生成されたアウトプットに挿入された HTML コードがコマンドをバッファに入れて、ページを求めているブラウザに渡されるであろう IOS HTTP サーバーに存在します。 この HTML コードはブラウザによって翻訳されることができた、そして装置あるいは攻撃に備えている他の可能な十字サイトに対して潜在的に悪意があるコマンドを実行してください。
In order to be vulnerable to the cross-site scripting attack, a user must browse and view the content during the same period of time the injected code exists in memory. On the other hand, if a user does not browse contaminated dynamic content on the device, then exploitation is not possible.
攻撃に備えている十字サイトに傷つきやすいために、ユーザーが注射されたコードがメモリに存在するタイムの同じ期間に内容をブラウズして、そして見なくてはなりません。 他方、もしユーザーが装置の上に汚染されたダイナミックな内容をブラウズしないなら、搾取ができません。
A proof of concept exploit exists for this vulnerability, in which the exploit attempts to reset the enable password on the device. For the attack to work against the device itself, the user browsing tainted dynamic content on the router will only be able to execute commands at or below the privilege level for which they are authenticated and authorized for on the device.
exploit がどちらをリセットしようと試みるかについて、コンセプト功績の証明がこの弱点のために存在する装置の上にパスワードを可能にする. 攻撃が装置自身に対してうまくいくために、ルーターに関するブラウジングしている傷つけられたダイナミックな内容が装置の上にただコマンドを実行することが可能であるか、あるいは（そのために）（彼・それ）らが認証されて、そして公認される特典レベルを下まわってだけであるであろうユーザー。
This vulnerability is documented in Cisco Bug ID CSCsc64976
( registered
customers only) .
この弱点はシスコバグＩＤ CSCsc64976 （登録された顧客のみ）で文書化されます。
Impact
インパクト
Successful exploitation of the vulnerability may result in an attacker executing commands on the device, including the possibility of gaining full administrative privileges on the device which is dependent on the privilege level of the authenticated user.
弱点の成功した搾取がアタッカーが認証されたユーザーの特典レベルに依存している装置の上にフルのアドミニストレーションの特典を得ることについての可能性を含めて、装置の上に、コマンドを実行するという結果になるかもしれません。
Software Versions and Fixes
ソフトウェアバージョンと修正
No software fixes are currently available. This section will be updated regularly as soon as software fixes are available.
ソフトウェア修正が現在利用可能ではありません。 ソフトウェア修正が利用可能であるとすぐに、このセクションは規則的にアップデートされるでしょう。
Workarounds
回避策
Disable the HTTP server
HTTP サーバーを不能にしてください
If the HTTP server is not used for any legitimate purposes on the device, it is a best practice to disable it by issuing the following commands in configure mode:
もし HTTP サーバーが装置の上に合法的な目的のために使われません、それを停止することが最も良い習慣であるなら、中に次のコマンドを出すことによって、モードの構成を設定してください：
no ip http server no ip http secure-server
ip http サーバーノー ip http 安全なサーバーはなしです
Disable the HTTP WEB_EXEC service
HTTP WEB_EXEC サービスを不能にしてください
A feature was introduced in 12.3(14)T and later in which selective HTTP and HTTPS services could be enabled or disabled. Two typical services are WEB_EXEC and the IOS Certificate Server (SCEP). The WEB_EXEC service provides a facility to configure the box and retrieve current state of the box from remote clients. The IOS Certificate Server service provides a facility wherein remote clients can enroll and obtain Crypto Certificates.
特徴が（１４）Ｔとサービスがどの精選する HTTP と HTTP 遅くであり得たかが可能にするか、あるいは障害を与えた１２.３で導入されました。 ２つの典型的なサービスが WEB_EXEC と IOS 証明書サーバー（SCEP）です。 WEB_EXEC サービスはボックスの構成を設定して、そして遠いクライアントからボックスの最新の状態を検索する能力を提供します。 IOS 証明書サーバーサービスはそこに遠いクライアントが暗号証明書を登録して、そして得ることができるファシリティを提供します。
It is possible to disable the WEB_EXEC service while still leaving SCEP running to serve Certificates. If an installation requires the use of the SCEP service, the WEB_EXEC service may be disabled via the commands in configure mode:
まだ SCEP が証明書をサポートするために走っている状態にしておいている間に、 WEB_EXEC サービスを不能にすることは可能です。 もしインストレーションが SCEP サービスの使用を必要とするなら、サービスがコマンドを経由して不能にされるかもしれない WEB_EXEC はモードの構成を設定します：
no ip http active-session-modules WEB_EXEC no ip http secure-active-session-modules WEB_EXEC
ip http アクティブなセッションモジュール WEB_EXEC 、 ip http 保全性が高い - アクティブなセッションモジュール WEB_EXEC
Avoid the use of Web-based SHOW commands
Web ベースのショーコマンドの使用を避けてください
Successful exploitation of this vulnerability requires an unsuspecting user to request dynamic content from the device via the "show" commands which are available. Avoiding the use of those commands via the web interface until an upgrade to fixed software is possible may be perfectly legitimate for some installations.
この弱点の成功した搾取が怪しまないユーザーに利用可能な「ショー」コマンドによって装置からダイナミックな内容を求めるように要求します。 固定されているソフトウェアへのアップグレードが可能になるまで、 Web インタフェースを経由してそれらのコマンドの使用を避けることは若干のインストレーションのために完全に合法的であるかもしれません。
Obtaining Fixed Software
得ることはソフトウェアを直しました
Cisco will make free software available to address this vulnerability for affected customers. This advisory will be updated as fixed software becomes available. Prior to deploying software, customers should consult their maintenance provider or check the software for feature set compatibility and known issues specific to their environment.
シスコはフリーソフトウェアを影響を受けた顧客のためにこの弱点をアドレスするためにアクセス可能であるようにするでしょう。 この助言は、固定されているソフトウェアが利用可能になる（とき・から・につれて・ように）、最新でしょう。 ソフトウェアを実装する前に、顧客が（彼・それ）らのメンテナンスプロバイダに相談するか、あるいは（彼・それ）らの環境に特殊な特徴セット互換性のためのソフトウェアと周知の号をチェックするべきです。
Customers may only install and expect support for the feature sets they have purchased. By installing, downloading, accessing or otherwise using such software upgrades, customers agree to be bound by the terms of Cisco's software license terms found at http://www.cisco.com/public/sw-license-agreement.html
, or as otherwise set forth at Cisco.com Downloads at http://www.cisco.com/public/sw-center/sw-usingswc.shtml
.
顧客がただ（彼・それ）らが購入した特徴セットに対するサポートをインストールして、そして予想するかもしれません。 インストールして、ダウンロードして、アクセスするか、あるいはさもなければこのようなソフトウェア・アップグレードを使うことによって、顧客が http://www.cisco.com/public/sw-license-agreement.html において見いだされたシスコのソフトウェアライセンス用語の用語によって拘束されることに同意するか、あるいは http://www.cisco.com/public/sw-center/sw-usingswc.shtml において Cisco.com ダウンロードにおいて同じぐらいさもなければ出発します。
Do not contact either "psirt@cisco.com" or "security-alert@cisco.com" for software upgrades.
ソフトウェア・アップグレードのために「psirt@cisco.com」あるいは「security-alert@cisco.com」と連絡を取らないでください。