Cisco vá lỗ hổng thực thi lệnh từ xa trong Webex Teams Client

[WhiteHat News #ID:2018]

Cisco vừa phát hành bản vá để xử lý một lỗ hổng có mức độ nghiêm trọng cao trong Webex Teams client (giải pháp cộng tác nhóm) trên hệ điều hành Windows, cho phép kẻ tấn công thực thi các lệnh từ xa.

Lỗi này xuất phát từ việc“giới hạn không chính xác các tính năng ghi log của phần mềm được dùng cho các hệ điều hành Windows”.

Để khai thác lỗ hổng, kẻ tấn công cần thuyết phục người dùng truy cập một website được thiết kế riêng để gửi dữ liệu đến ứng dụng bị ảnh hưởng. Nếu khai thác thành công, hacker có thể chỉnh sửa file của ứng dụng và thực thi các lệnh tùy ý trên hệ thống.

Lỗi này ảnh hưởng đến tất cả các Webex Teams của Cisco từ các phiên bản Windows 3.0.12427.0 trở về trước.

Lỗ hổng thứ hai cũng có mức độ nghiêm trọng cao đó là lỗi lộ thông tin trong thành phần các dịch vụ “plug-and-play” (dịch vụ dò tìm các phần cứng mới và tự động cấu hình để máy tính có thể sử dụng được luôn) của Industrial Network Director (IND).

Lỗi này xảy ra do các giới hạn truy cập không chính xác trên giao diện quản lý nền tảng web.

Kẻ tấn công sẽ cần gửi một truy vấn HTTP tự tạo đến thiết bị bị ảnh hưởng. Nếu khai thác thành công, hacker có thể biết được cấu hình của thiết bị được quản lý bởi IND, gồm cả thông tin đăng nhập của quản trị viên.

Ngoài ra, Cisco cũng đã phát hành bản vá cho một loạt các lỗ hổng nghiêm trọng ở mức trung bình ảnh hưởng đến Unified Contact Center Express (Unified CCX), Content Security Management Appliance (SMA), Jabber Client Framework (JCF) cho hệ điều hành Mac, phần mềm Identity Services Engine (ISE) và Finesse.

Kẻ tấn công nhằm vào các lỗi có thể qua mặt việc kiểm soát truy cập và thực hiện các cuộc tấn công server-side request forgery (SSRF - tấn công yêu cầu giả mạo từ phía máy chủ), chiếm quyền truy cập nằm ngoài phạm vi đến email, thực thi mã tùy ý, thực hiện các cuộc tấn công cross-site scripting (XSS) hoặc SSRF tương ứng.

Cisco cũng đã đưa ra khuyến cáo về nhiều lỗ hổng ảnh hưởng đến các router có chức năng VPN dành cho doanh nghiệp nhỏ cho các dòng RV160, 260 và 340 Series.

Các lỗi bao gồm thông tin đăng nhập đã được hardcode, các tài khoản debug-admin và root, các lỗ hổng GNU glibc, BusyBox và các gói phần mềm không cần thiết.

Cisco đã phát hành bản cập nhật để xử lý tất các các lỗi này đồng thời cho biết chưa phát hiện việc khai thác vì mục đích xấu. Chi tiết các lỗ hổng được công bố có thể xem tại đây.

Theo SecurityWeek​