概要
Cisco Unified Communications Manager (UCM) および Unified CM Session Management Edition (SME) にサーバーサイドリクエストフォージェリ（SSRF）の脆弱性（CWE-918）が発見されました。
WebDialerサービスが有効な場合、未認証のリモート攻撃者がHTTPリクエストを細工することで、影響を受けるデバイスを経由してSSRF攻撃を実行できます。成功した場合、ベースOSへのファイル書き込みが可能になり、さらに root 権限への昇格につながる可能性があります。
注意: Cisco は、CVSSスコア（8.6：High）ではなく Security Impact Rating (SIR) を Critical としています。WebDialer はデフォルトで無効となっています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 8.6（High） |
| 攻撃経路 | ネットワーク（AV:N） |
| 攻撃の複雑さ | 低（AC:L） |
| 必要な権限 | なし（PR:N） |
| ユーザー操作 | 不要（UI:N） |
| CWE | CWE-918（SSRF） |
影響を受けるソフトウェア
- Cisco Unified Communications Manager（UCM）各バージョン
- Cisco Unified Communications Manager Session Management Edition（SME）
- 条件: WebDialer サービスが有効になっている場合のみ
修正バージョンと回避策
- Ciscoが提供する修正バージョンへのアップグレードを実施してください。
- 即時適用が困難な場合は、WebDialer サービスを無効化することで攻撃ベクターを排除できます（デフォルトは無効）。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。