【zeroday警告】Cisco Secure Desktopの「CSDWebInstaller.ocx」ゼロデイバグについて

本件のゼロデイセキュリティ問題について下記のソフトに影響があります↓

Cisco Secure Desktopシリーズ↓
Cisco Secure Desktop 3.5.1077
Cisco Secure Desktop 3.5.841
Cisco Secure Desktop 3.5.841
Cisco Secure Desktop 3.4.2048
Cisco Secure Desktop 3.1.1
Cisco Secure Desktop 3.2
Cisco Secure Desktop 3.1.1.45
Cisco Secure Desktop 3.1.1.33
Cisco Secure Desktop 3.1

↑もしマルウェアのサイトがこのセキュリティ問題情報を使われたら Cisco Secure Desktopのパソコンにマルウェア感染仕組みを作れます。具体的に本問題について2件があり下記の説明となります↓

１）CVE-2011-0925
CSDWebInstaller.ocxにバグがあり、悪戯偽inst.exeファイルをダウンロードされたら実行されます。リモートからPCの攻撃とマルウェア感染仕組みを作れます。
英文の説明は⇒「The specific flaw exists within CSDWebInstaller.ocx. The CSDWebInstallerCtrl ActiveX control allows downloading and executing any Cisco-signed executable files. By renaming a Cisco-signed executable file to inst.exe and putting it on a webserver, an attacker can subsequently exploit vulnerabilities in the Cisco-signed executable file remotely」
■タイムライン↓
2010-08-25 - Vulnerability reported to vendor
2011-02-23 - Coordinated public release of advisory
■メーカよりレスポンス無し

２）CVE-2011-0926
認証確認仕組み＠CSDWebInstaller.ocxにバグがあり、ダウンロードされた実行ファイルの認証がちゃんとチェックされておりません。リモートからPCの攻撃とマルウェア感染仕組みを作れます。英文の説明は⇒「The specific flaw exists within CSDWebInstaller.ocx ActiveX control. The vulnerable Cisco-signed ActiveX control verifies the signing authority names in the certificate chain but fails to properly verify the digital signature of an executable file that is downloaded and executed by the Cisco Secure Desktop installation process. A remote attacker can exploit this vulnerability to execute arbitrary code under the context of the browser」
■タイムライン↓
2010-09-14 - Vulnerability reported to vendor
2011-02-23 - Coordinated public release of advisory
■メーカよりレスポンス無し

リファレンス↓

http://www.zerodayinitiative.com/advisories/ZDI-11-092/
http://www.zerodayinitiative.com/advisories/ZDI-11-091/
http://www.securityfocus.com/bid/46538/
http://packetstormsecurity.org/files/cve/CVE-2011-0926
など。。。

----
ゼロデイ・ジャパン
http://0day.jp
ゼロデイ情報研究者アドリアン・ヘンドリック