WhiteHat News #ID:2017
VIP Members
-
20/03/2017
-
113
-
356 bài viết
Lỗ hổng nghiêm trọng của Cisco Jabber có thể bị khai thác chỉ thông qua một tin nhắn
Update ngày 12/12/2020:
Sau khi các bản vá được phát hành, Watchcom, công ty bảo mật tìm ra lỗ hổng, đã phát hiện các bản vá được phát hành vẫn chưa hoàn chỉnh và xác định thêm 3 lỗ hổng mới.
Để giảm thiểu nguy cơ từ các lỗ hổng, Cisco khuyến cáo người dùng cập nhật phần mềm cho các máy khách Windows, macOS, Android và iOS Jabber.
Công ty này cũng cho biết các lỗ hổng mới hiện chưa bị khai thác trong thực tế.
Kẻ tấn công có thể khai thác lỗ hổng CVE-2020-3495 để thực thi mã từ xa mà không cần người dùng tương tác.
Các nhà nghiên cứu đang cảnh báo về một lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng trong phiên bản Windows của Cisco Jabber, một ứng dụng nhắn tin nhanh và họp trực tuyến của hãng. Kẻ tấn công có thể khai thác lỗ hổng chỉ bằng cách gửi các tin nhắn đặc biệt tới mục tiêu mà không cần sự tương tác của nạn nhân.
Cisco thông báo lỗ hổng CVE-2020-3495 có điểm CVSS là 9,9 trên 10, cho thấy mức độ rất nghiêm trọng của nó. Theo các nhà nghiên cứu từ Watchcom – công ty phát hiện ra lỗ hổng - vì số người làm việc từ xa gia tăng nhanh chóng trong đại dịch Covid, tác động của lỗ hổng này đặc biệt nghiêm trọng.
Các nhà nghiên cứu phân tích, nhiều thông tin nhạy cảm được chia sẻ thông qua các cuộc gọi video hoặc tin nhắn tức thì và các ứng dụng này được đa số nhân viên sử dụng, kể cả những người có quyền truy cập đặc quyền vào các hệ thống CNTT khác.
Kẻ tấn công có thể khai thác lỗ hổng bằng cách gửi tin nhắn XMPP (Extensible Messaging and Presence Protocol) đặc biệt tới các hệ thống người dùng cuối tồn tại lỗ hổng chạy Cisco Jabber cho Windows. XMPP là một giao thức dựa trên XML để nhắn tin tức thời được sử dụng rộng rãi trong cả phần mềm nguồn mở và phần mềm độc quyền.
Mặc dù có thể thực thi từ xa, kẻ tấn công vẫn cần quyền truy cập vào cùng một tên miền XMPP hoặc một cách thức truy cập khác để có thể gửi tin nhắn đến máy khách, theo các nhà nghiên cứu. Tuy nhiên, đa số các cuộc tấn công rất dễ thực hiện: Không cần sự tương tác của nạn nhân và lỗ hổng bảo mật có thể bị khai thác ngay cả khi Cisco Jabber đang chạy ở chế độ nền.
Lỗ hổng bắt nguồn từ việc Cisco Jabber xác thực không chính xác nội dung tin nhắn hợp lệ. Ứng dụng không lọc được hết các tin nhắn HTML đến. Thay vào đó, nó chuyển các thông báo qua bộ lọc tập lệnh chéo trang (XSS) có lỗ hổng. Các nhà nghiên cứu phát hiện bộ lọc này có thể bị vượt qua bằng cách sử dụng thuộc tính “onanimationstart”. Thuộc tính này được sử dụng để chỉ định một hàm JavaScript khi hoạt ảnh CSS của một phần tử bắt đầu chạy.
Sử dụng thuộc tính này (cùng với hoạt ảnh tích hợp đi kèm), các nhà nghiên cứu nhận thấy có thể tạo ra các thẻ HTML độc hại mà bộ lọc không bắt được và có thể được thực thi sau đó. Bước cuối cùng, các nhà nghiên cứu đã tạo ra một tin nhắn độc hại bằng cách sử dụng các thẻ HTML này, sau đó chặn một thông báo XMPP do ứng dụng gửi và sửa đổi nó.
Các nhà nghiên cứu cho biết, kẻ xấu có thể thực hiện thủ công điều này trên chính máy tính của mình hoặc có thể tự động hóa nó để tạo ra một loại sâu máy tính có khả năng lây lan tự động.
Theo Cisco, khi khai thác thành công lỗ hổng, hacker có thể khiến ứng dụng chạy một tệp thực thi tùy ý đã tồn tại trong đường dẫn tệp nội bộ của ứng dụng. Tệp thực thi sẽ chạy trên hệ thống người dùng cuối với các đặc quyền của người dùng đã khởi tạo ứng dụng khách Cisco Jabber.”
Các hệ thống sử dụng Cisco Jabber ở chế độ chỉ dành cho điện thoại (không bật dịch vụ nhắn tin XMPP) không thể bị khai thác. Ngoài ra, lỗ hổng cũng không thể khai thác được khi Cisco Jabber được định cấu hình để sử dụng các dịch vụ nhắn tin khác với nhắn tin XMPP.
Lỗ hổng này ảnh hưởng đến tất cả các phiên bản hiện được hỗ trợ của máy khách Cisco Jabber (từ phiên bản 12.1 đến 12.9). Cisco đã phát hành các bản cập nhật cho các bản phát hành khác nhau của Cisco Jabber bị ảnh hưởng. Xem bản vá lỗi trong bảng bên dưới:
Các nhà nghiên cứu cho biết họ đã tìm thấy ba lỗ hổng khác trong Cisco Jabber, bao gồm lỗi lây nhiễm lệnh xử lý giao thức (CVE-2020-3430), lỗ hổng tiết lộ thông tin (CVE-2020-3498) và lỗ hổng xử lý đường dẫn UNC (Universal Naming Convention) (CVE-2020-3537).
Cisco khẳng định chưa ghi nhận bất kỳ chiến dịch khai thác lỗ hổng nào.
Sau khi các bản vá được phát hành, Watchcom, công ty bảo mật tìm ra lỗ hổng, đã phát hiện các bản vá được phát hành vẫn chưa hoàn chỉnh và xác định thêm 3 lỗ hổng mới.
Để giảm thiểu nguy cơ từ các lỗ hổng, Cisco khuyến cáo người dùng cập nhật phần mềm cho các máy khách Windows, macOS, Android và iOS Jabber.
Công ty này cũng cho biết các lỗ hổng mới hiện chưa bị khai thác trong thực tế.
Theo Securityweek
_______________________________________________________________________Kẻ tấn công có thể khai thác lỗ hổng CVE-2020-3495 để thực thi mã từ xa mà không cần người dùng tương tác.
Cisco thông báo lỗ hổng CVE-2020-3495 có điểm CVSS là 9,9 trên 10, cho thấy mức độ rất nghiêm trọng của nó. Theo các nhà nghiên cứu từ Watchcom – công ty phát hiện ra lỗ hổng - vì số người làm việc từ xa gia tăng nhanh chóng trong đại dịch Covid, tác động của lỗ hổng này đặc biệt nghiêm trọng.
Các nhà nghiên cứu phân tích, nhiều thông tin nhạy cảm được chia sẻ thông qua các cuộc gọi video hoặc tin nhắn tức thì và các ứng dụng này được đa số nhân viên sử dụng, kể cả những người có quyền truy cập đặc quyền vào các hệ thống CNTT khác.
Kẻ tấn công có thể khai thác lỗ hổng bằng cách gửi tin nhắn XMPP (Extensible Messaging and Presence Protocol) đặc biệt tới các hệ thống người dùng cuối tồn tại lỗ hổng chạy Cisco Jabber cho Windows. XMPP là một giao thức dựa trên XML để nhắn tin tức thời được sử dụng rộng rãi trong cả phần mềm nguồn mở và phần mềm độc quyền.
Mặc dù có thể thực thi từ xa, kẻ tấn công vẫn cần quyền truy cập vào cùng một tên miền XMPP hoặc một cách thức truy cập khác để có thể gửi tin nhắn đến máy khách, theo các nhà nghiên cứu. Tuy nhiên, đa số các cuộc tấn công rất dễ thực hiện: Không cần sự tương tác của nạn nhân và lỗ hổng bảo mật có thể bị khai thác ngay cả khi Cisco Jabber đang chạy ở chế độ nền.
Lỗ hổng bắt nguồn từ việc Cisco Jabber xác thực không chính xác nội dung tin nhắn hợp lệ. Ứng dụng không lọc được hết các tin nhắn HTML đến. Thay vào đó, nó chuyển các thông báo qua bộ lọc tập lệnh chéo trang (XSS) có lỗ hổng. Các nhà nghiên cứu phát hiện bộ lọc này có thể bị vượt qua bằng cách sử dụng thuộc tính “onanimationstart”. Thuộc tính này được sử dụng để chỉ định một hàm JavaScript khi hoạt ảnh CSS của một phần tử bắt đầu chạy.
Sử dụng thuộc tính này (cùng với hoạt ảnh tích hợp đi kèm), các nhà nghiên cứu nhận thấy có thể tạo ra các thẻ HTML độc hại mà bộ lọc không bắt được và có thể được thực thi sau đó. Bước cuối cùng, các nhà nghiên cứu đã tạo ra một tin nhắn độc hại bằng cách sử dụng các thẻ HTML này, sau đó chặn một thông báo XMPP do ứng dụng gửi và sửa đổi nó.
Theo Cisco, khi khai thác thành công lỗ hổng, hacker có thể khiến ứng dụng chạy một tệp thực thi tùy ý đã tồn tại trong đường dẫn tệp nội bộ của ứng dụng. Tệp thực thi sẽ chạy trên hệ thống người dùng cuối với các đặc quyền của người dùng đã khởi tạo ứng dụng khách Cisco Jabber.”
Các hệ thống sử dụng Cisco Jabber ở chế độ chỉ dành cho điện thoại (không bật dịch vụ nhắn tin XMPP) không thể bị khai thác. Ngoài ra, lỗ hổng cũng không thể khai thác được khi Cisco Jabber được định cấu hình để sử dụng các dịch vụ nhắn tin khác với nhắn tin XMPP.
Lỗ hổng này ảnh hưởng đến tất cả các phiên bản hiện được hỗ trợ của máy khách Cisco Jabber (từ phiên bản 12.1 đến 12.9). Cisco đã phát hành các bản cập nhật cho các bản phát hành khác nhau của Cisco Jabber bị ảnh hưởng. Xem bản vá lỗi trong bảng bên dưới:
Cisco khẳng định chưa ghi nhận bất kỳ chiến dịch khai thác lỗ hổng nào.
Theo Threatpost