重要情報 脆弱性名称: Cisco Integrated Management Controller のサブ文字列比較における権限昇格脆弱性 アドバイザリ ID: cisco-sa-20190821-imc-privescal CVE ID: CVE-2019-1907 CWE: CWE-285 CVSS スコア: 8.8 公開日: 2019年8月21日 リスクレベル: 高 脆弱性の概要 説明: Cisco Integrated Management Controller (IMC) の Web サーバーに脆弱性が存在し、認証済みリモート攻撃者が機密設定値を設定し、権限昇起を得ることができます。 原因: 影響を受けるソフトウェアがサブ文字列比較操作を不適切に処理しているため、特製の HTTP リクエストを送信することで本脆弱性を悪用できます。 影響: 成功した悪用により、読み取り専用権限を持つ攻撃者が管理者権限を取得します。 影響を受ける製品 影響を受ける製品: 独立モードで動作する Cisco IMC ソフトウェアを搭載した Cisco UCS C シリーズおよび S シリーズ サーバー。 影響を受けない製品: UCS E シリーズ サーバー、5000 シリーズ エンタープライズ ネットワーク計算システム、UCS Manager で管理される FI 接続サーバー（B、C、および S シリーズ サーバーを含む）。 解決策とワークアラウンド 解決策: Cisco は本脆弱性を修正するための無償ソフトウェア アップデートを公開しています。 ワークアラウンド: なし。 修正バージョン クライアントは、対応する Cisco UCS C シリーズおよび S シリーズのソフトウェア バージョンにアップグレードする必要があります。詳細については修正バージョン表を参照してください。 発見元 本脆弱性は内部セキュリティテストにおいて発見されました。