CVE-2019-10744の影響について

[hiroki_oizumi_7565]

下記の製品を使っています。

この製品のついて、CVE-2019-10744 の影響を受けるか調査しています。

WEBアクセス時にlodashを使っているのか、また、該当するバージョンなのか

情報があれば教えてください。

<製品情報>

Cisco WAE (TM) v6.4.10

[Akira Muranaka · Accepted solution]

こんにちは。

シスコ製品のオープンソース利用状況は 公開されている製品も多く、WAEの場合 以下サイトで確認できます。

https://www.cisco.com/c/en/us/support/routers/quantum-wan-automation-visibility-engine/products-licensing-information-listing.html

例えば、以下は version 6.4系の情報ですが、特にlodashは利用してないようですので、使用していないのであれば、特に影響を受けないと考えていいのではと思います。

https://www.cisco.com/c/dam/en/us/td/docs/net_mgmt/wae/6-4/open_source/Cisco_WAE_6_4_0.pdf

シスコ製品のオープンソースの確認方法は以下ドキュメントが参考になります。

https://community.cisco.com/t5/tac-tips-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/cisco-%E8%A3%BD%E5%93%81%E3%81%A7%E4%BD%BF%E7%94%A8%E3%81%95%E3%82%8C%E3%81%A6%E3%82%8B%E3%82%AA%E3%83%BC%E3%83%97%E3%83%B3%E3%82%BD%E3%83%BC%E3%82%B9%E3%8...

なお、ご存知かと思いますが、一般論ですが、仮に特定オープンソースや 影響を受けるバージョンを特定製品が使っていたとしても、ユーザからはアクセスできないソフトウェアの内部でそれらオープンソースが使われていれば 結局脆弱性の影響を受けない、ということも多いです。