Jabber中可恶的代码执行漏洞的严重等级为9.9(满分10)

2020-12-11 21:06:09

思科已经为其重要的漏洞修补了Jabber会议和消息传递应用程序,该漏洞使攻击者可以执行恶意代码,这些恶意代码可以在计算机之间传播,而无需用户交互。再次。

该漏洞于9月份首次披露,是安全公司Watchcom Security的研究人员发现的几个漏洞的结果。首先,该应用无法正确过滤用户发送的消息中包含的潜在恶意元素。该筛选器基于不完整的阻止列表,可以使用称为onanimationstart的编程属性来绕过该阻止列表。包含该属性的消息直接传递到嵌入式浏览器的DOM。由于浏览器基于Chromium嵌入式框架,因此它将执行通过过滤器的所有脚本。

在绕过过滤器的情况下,研究人员仍然必须找到一种方法来突破安全沙箱,该沙箱旨在防止用户输入进入操作系统的敏感部分。研究人员最终选择了一个名为CallCppFunction的函数,Cisco Jabber使用该函数打开一个用户从另一个用户接收的文件。

总体而言,Watchcom报告了四个漏洞,所有漏洞均在9月被披露的同时获得了补丁。不过,Watchcom研究人员周四表示,对其中三个的修复不完整。

其中两个漏洞是由将自定义HTML标记注入XMPP消息引起的。 9月份发布的补丁仅修补了Watchcom已确定的特定注入点。基本问题未得到解决。因此,我们能够找到可以用来利用漏洞的新注入点。

这些注入点之一是通过Cisco Jabber发送的文件的文件名。文件名由通过XMPP发送的文件标签的name属性指定。收到传入的文件传输时,此属性显示在DOM中。在将属性值添加到DOM之前,不会对其进行清理,从而可以通过操作将任意HTML标记注入文件传输消息中。

没有采取其他安全措施,因此可以使用此新的注入点获得远程代码执行权并窃取NTLM密码哈希。

研究人员建议尽快安装更新。 在为所有员工打补丁之前,组织应考虑禁用所有外部通信。 该漏洞影响所有当前支持的Cisco Jabber客户端版本(12.1至12.9)。 思科在此处提供详细信息。