WhiteHat News #ID:2017
VIP Members
-
20/03/2017
-
113
-
356 bài viết
Cập nhật bản vá lỗ hổng RCE nghiêm trọng trong tiện ích mở rộng Cisco WebEx
Lần thứ 2 trong năm 2017, một lỗ hổng nghiêm trọng được phát hiện trong tiện ích mở rộng Cisco WebEx của các trình duyệt web Chrome và Firefox có thể cho phép hacker thực thi mã độc từ xa trên máy tính nạn nhân.
Cisco WebEx là công cụ phổ biến cho các sự kiện trực tuyến, bao gồm cuộc họp, các buổi webibar, các buổi hội nghị truyền hình… với khoảng 20 triệu người dùng trên toàn thế giới.
Hai chuyên gia Tavis Ormandy từ đội Project Zero của Google và Cris Neckar từ công ty Divergent Security đã phát hiện lỗ hổng thực thi mã độc từ xa (CVE-2017-6753) do lỗi thiết kế tiện ích mở rộng WebEx.
Để khai thác lỗ hổng, hacker chỉ cần lừa các nạn nhân vào một trang web chứa mã độc đặc biệt thông qua trình duyệt web có cài đặt tiện ích mở rộng đã bị ảnh hưởng.
Nếu khai thác thành công lỗ hổng này, hacker có thể thực thi mã tùy ý với trình duyệt bị ảnh hưởng và giành quyền kiểm soát hệ thống.
Chuyên gia Ormandy nhận thấy có rất nhiều vấn đề trong cách thức xóa các dữ liệu nhạy cảm nên đã tạo một mã khai thác từ xa để chứng thực cơ chế tấn công. “Chỉ riêng với Chrome, tiện ích mở rộng này có hơn 20 triệu người sử dụng. FireFox và các trình duyệt khác cũng có thể bị ảnh hưởng”, chuyên gia này cho biết thêm.
Hãng Cisco đã nhanh chóng phát hành bản vá cập nhật “Cisco WebEx Extension 1.0.12” cho các trình duyệt Chrome và Firefox.
Hãng cũng xác nhận trong một thông báo đưa ra ngày 17/7:“Lỗ hổng này ảnh hưởng đến các tiện ích mở rộng của các giải pháp Cisco WebEx Meetings Server, các dịch vụ của Cisco WebEx (bao gồm các ứng dụng cho hội nghị, sự kiện, đào tạo và hỗ trợ) cũng như Cisco WebEx Meetings khi các sản phẩm này chạy trên hệ điều hành Microsoft Windows”.
Tải Cisco WebEx Extension 1.0.12
Người dùng được khuyến cáo nên hạn chế đặc quyền truy cập với tất cả các phần mềm để giảm thiệt hại khi bị tấn công.
Rất may lỗ hổng này không tác động tới Safari của Apple, Internet Explorer và Edge của Microsoft.
Hãng Ciso cũng khẳng định các công cụ năng suất của Cisco WebEx, các tiện ích mở rộng của Cisco WebEx cho các trình duyệt Mac hoặc Linux và Cisco WebEx trên Microsoft Edge hoặc Internet Explorer không bị ảnh hưởng bởi lỗ hổng này.
Theo Hacker News
Hai chuyên gia Tavis Ormandy từ đội Project Zero của Google và Cris Neckar từ công ty Divergent Security đã phát hiện lỗ hổng thực thi mã độc từ xa (CVE-2017-6753) do lỗi thiết kế tiện ích mở rộng WebEx.
Để khai thác lỗ hổng, hacker chỉ cần lừa các nạn nhân vào một trang web chứa mã độc đặc biệt thông qua trình duyệt web có cài đặt tiện ích mở rộng đã bị ảnh hưởng.
Nếu khai thác thành công lỗ hổng này, hacker có thể thực thi mã tùy ý với trình duyệt bị ảnh hưởng và giành quyền kiểm soát hệ thống.
Chuyên gia Ormandy nhận thấy có rất nhiều vấn đề trong cách thức xóa các dữ liệu nhạy cảm nên đã tạo một mã khai thác từ xa để chứng thực cơ chế tấn công. “Chỉ riêng với Chrome, tiện ích mở rộng này có hơn 20 triệu người sử dụng. FireFox và các trình duyệt khác cũng có thể bị ảnh hưởng”, chuyên gia này cho biết thêm.
Hãng Cisco đã nhanh chóng phát hành bản vá cập nhật “Cisco WebEx Extension 1.0.12” cho các trình duyệt Chrome và Firefox.
Hãng cũng xác nhận trong một thông báo đưa ra ngày 17/7:“Lỗ hổng này ảnh hưởng đến các tiện ích mở rộng của các giải pháp Cisco WebEx Meetings Server, các dịch vụ của Cisco WebEx (bao gồm các ứng dụng cho hội nghị, sự kiện, đào tạo và hỗ trợ) cũng như Cisco WebEx Meetings khi các sản phẩm này chạy trên hệ điều hành Microsoft Windows”.
Tải Cisco WebEx Extension 1.0.12
Người dùng được khuyến cáo nên hạn chế đặc quyền truy cập với tất cả các phần mềm để giảm thiệt hại khi bị tấn công.
Rất may lỗ hổng này không tác động tới Safari của Apple, Internet Explorer và Edge của Microsoft.
Hãng Ciso cũng khẳng định các công cụ năng suất của Cisco WebEx, các tiện ích mở rộng của Cisco WebEx cho các trình duyệt Mac hoặc Linux và Cisco WebEx trên Microsoft Edge hoặc Internet Explorer không bị ảnh hưởng bởi lỗ hổng này.
Theo Hacker News
Chỉnh sửa lần cuối: