La falla de ejecución de código Wormable en Jabber tiene una calificación de gravedad de 9,9 sobre 10

La falla de ejecución de código Wormable en Jabber tiene una calificación de gravedad de 9,9 sobre 10

imágenes falsas

Cisco ha parcheado su aplicación de mensajería y conferencias Jabber contra una vulnerabilidad crítica que hizo posible que los atacantes ejecutaran código malicioso que se propagaría de una computadora a otra sin la interacción del usuario. De nuevo.

La vulnerabilidad, que se reveló por primera vez en septiembre, fue el resultado de varias fallas descubiertas por investigadores de la firma de seguridad Watchcom Security. Primero, la aplicación no pudo filtrar adecuadamente los elementos potencialmente maliciosos contenidos en los mensajes enviados por el usuario. El filtro se basó en una lista de bloqueo incompleta que podría omitirse mediante un atributo de programación conocido como onanimationstart.

Mensajes que contenían el atributo pasado directamente a JUICIO de un navegador integrado. Debido a que el navegador se basaba en Chromium Embedded Framework, ejecutaba cualquier script que pasara por el filtro.

Con el filtro omitido, los investigadores aún tenían que encontrar una manera de salir de una caja de arena de seguridad diseñada para evitar que la entrada del usuario llegara a partes sensibles del sistema operativo. Los investigadores finalmente se decidieron por una función llamada CallCppFunction, que, entre otras cosas, utiliza Cisco Jabber para abrir archivos que un usuario recibe de otro.

En total, Watchcom informó cuatro vulnerabilidades, todas las cuales recibieron parches al mismo tiempo que fueron reveladas en septiembre. El jueves, sin embargo, los investigadores de Watchcom dijeron que las correcciones para tres de ellos estaban incompletas.

en un entrada en el blog, los investigadores de la empresa escribieron:

Dos de las vulnerabilidades se deben a la capacidad de inyectar etiquetas HTML personalizadas en mensajes XMPP. El parche lanzado en septiembre solo parcheó los puntos de inyección específicos que Watchcom había identificado. No se abordó el problema subyacente. Por lo tanto, pudimos encontrar nuevos puntos de inyección que podrían usarse para explotar las vulnerabilidades.

Uno de estos puntos de inyección es el nombre de archivo de un archivo enviado a través de Cisco Jabber. El nombre de archivo se especifica mediante el atributo de nombre de una etiqueta de archivo enviada a través de XMPP. Este atributo se muestra en el DOM cuando se recibe una transferencia de archivo entrante. El valor del atributo no se desinfecta antes de agregarlo al DOM, lo que permite inyectar etiquetas HTML arbitrarias en el mensaje de transferencia de archivos manipulándolo.

No se habían implementado medidas de seguridad adicionales y, por lo tanto, era posible obtener la ejecución remota de código y robar los hashes de contraseña NTLM utilizando este nuevo punto de inyección.

Las tres vulnerabilidades, junto con sus descripciones y clasificaciones comunes del sistema de puntuación de vulnerabilidades son:

  • CVE-2020-26085: Secuencias de comandos entre sitios de Cisco Jabber que conducen a RCE (CVSS 9.9)
  • CVE-2020-27132: Divulgación de información sobre robo de hash de contraseña de Cisco Jabber (CVSS 6.5)
  • CVE-2020-27127: Inyección de comandos del controlador de protocolo personalizado de Cisco Jabber (CVSS 4.3)

Los investigadores recomendaron que las actualizaciones se instalen lo antes posible. Hasta que todos los empleados estén parcheados, las organizaciones deben considerar deshabilitar todas las comunicaciones externas. Las vulnerabilidades afectan a todas las versiones admitidas actualmente del cliente Cisco Jabber (12.1 a 12.9). Cisco tiene detalles aquí.

Leave a Reply

Your email address will not be published. Required fields are marked *