脆弱性の重要情報 基本情報 脆弱性ID: cisco-sa-dcnm-xss-3jkDLsLV CVE番号: CVE-2020-3460 CWE番号: CWE-79 深刻度: Medium (CVSS ベーススコア: 4.7) 公開日: 2020年7月29日 16:00 GMT 脆弱性の概要 脆弱性説明: Cisco Data Center Network Manager (DCNM) の Web ベース管理インターフェースに、クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性により、認証されていないリモート攻撃者は、HTTP ヘッダーに悪意のあるデータを注入してユーザーからのリクエストを傍受し、インターフェースのユーザーに対して攻撃を行うことができます。 脆弱性の原因: 管理インターフェースが、ユーザーからの入力値を適切に検証していないためです。 リスク: 脆弱性を完全に悪用されると、攻撃者は任意のスクリプトコードを実行したり、ブラウザベースの機密情報にアクセスしたりできるようになります。 影響を受ける製品 影響を受けるバージョン: Cisco DCNM ソフトウェアバージョン 11.4(1) より前のバージョン。 影響を受けないことが確認された製品: 「影響を受ける製品」セクションに記載されている製品のみが、本脆弱性の影響を受けることが確認されています。 対応ワークアラウンド ワークアラウンド: 本脆弱性を緩和するためのワークアラウンドはありません。 修正されたバージョン 修正措置: 公開時点で、Cisco DCNM ソフトウェアバージョン 11.4(1) 以降のバージョンには、本脆弱性を修正するパッチが含まれています。 公告状況 公的な利用と公告: Cisco の製品セキュリティインシデント対応チーム（PSIRT）は、本脆弱性に関する公的な公告や悪意ある利用事例について、現時点で認識していません。 脆弱性のソース 報告者: ShiftLeft の Suchakra Sharma、Nikolas Schmidt、および Niklas Jacob による本脆弱性の報告に対し、Cisco は心より感謝申し上げます。 その他の情報 詳細リンク: https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-dcnm-xss-3jkDLsLV