Cisco Catalyst 2940 シリーズ スイッチにXSSの脆弱性、サポート終了後も製品流通続く

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は6月14日、Cisco Catalyst 2940 シリーズ スイッチにおけるクロスサイトスクリプティングの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。サイバーセキュリティ研究団の今岡陵氏が報告を行っている。影響を受けるシステムは以下の通り。

Cisco Catalyst 2940 シリーズ スイッチ 12.2(50)SY より前のファームウェアバージョン

　Cisco Systems, Inc. が提供する Cisco Catalyst 2940 シリーズ スイッチの 12.2(50)SY より前のファームウェアには、ユーザ入力の扱いに不備がありエラーページ生成処理にクロスサイトスクリプティングの脆弱性が存在し、当該製品を使用しているユーザのWebブラウザ上で任意のスクリプトを実行される可能性がある。なお本脆弱性は、2011年にリリースされた 12.2(50)SY で対策されている。

　当該製品は2015年にサポート終了しているが、2022年現在も製品流通が続いており、JVNでの公表に至った。

　本脆弱性は2011年にリリースされた 12.2(50)SY で対策されているが、Cisco Systemsでは当該製品の使用停止と後継製品への移行を推奨している。