【漏洞通告】 Cisco Jabber12月多个安全漏洞

发布时间 2020-12-11

0x00 漏洞概述

产品名称

CVE ID

类 型

漏洞等级

远程利用

 Cisco Jabber

CVE-2020-26085

RCE

严重

CVE-2020-27127

未授权访问

中危

CVE-2020-27132

信息泄露

中危

CVE-2020-27133

命令注入

高危

CVE-2020-27134

脚本注入

高危

0x01 漏洞详情

 

image.png

 

Cisco Jabber是一个即时消息和web会议桌面应用程序,它使用可扩展消息和状态协议(XMPP)在用户之间传递消息。该应用程序基于Chromium Embedded Framework(CEF)构建,其UI使用HTML、CSS和JavaScript等web技术。

2020年12月10日,Cisco发布安全公告,Jabber中存在多个安全漏洞(CVE-2020-26085、CVE-2020-27127、CVE-2020-27132、CVE-2020-27133和CVE-2020-27134)。这些漏洞并不相互依赖,攻击者能够利用它们在系统上实行任意代码,或窃取敏感信息。

要利用CVE-2020-26085和CVE-2020-27134这两个消息处理漏洞,攻击者需要访问同一XMPP域或使用其它方法向Cisco Jabber客户端发送可扩展消息和状态协议(XMPP)消息。处于phone-only模式下且未启用XMPP消息服务的Cisco Jabber不容易受到攻击。此外,如果将Cisco Jabber配置为使用XMPP消息传递以外的其它消息传递服务,则漏洞无法利用。

漏洞详情如下:

Cisco Jabber消息处理中的任意代码实行漏洞(CVE-2020-26085)

该漏洞是邮件内容验证不正确导致的,其CVSS评分9.9。攻击者可以通过向受影响的Jabber客户端发送恶意的XMPP消息来利用此漏洞。成功利用此漏洞的攻击者能够以运行Cisco Jabber客户端的账户权限在目标系统上实行任意代码。

影响范围:

Windows 版Cisco Jabber

MacOS版Cisco Jabber

 

Cisco Jabber for Windows自定义协议处理程序未授权访问漏洞(CVE-2020-27127)

该漏洞是对Jabber协议处理程序的输入处理不当导致的,其CVSS评分4.3。攻击者可以通过引导目标用户单击电子邮件或其它消息传递平台发送的消息中的链接来利用此漏洞。成功利用此漏洞的攻击者可以向Cisco Jabber客户端发送任意命令,从而可能使攻击者修改应用程序配置。

影响范围:

Windows 版Cisco Jabber

 

Cisco Jabber信息泄露漏洞(VE-2020-27132)

该漏洞是邮件内容验证不正确导致的,其CVSS评分6.5。攻击者可以通过向目标系统发送恶意消息来利用此漏洞。成功利用此漏洞的攻击者可以使Jabber将身份验证等敏感信息返回给另一个系统,以便于进一步攻击。

影响范围:

Windows 版Cisco Jabber

MacOS版Cisco Jabber

 

Cisco Jabber for Windows自定义协议处理程序命令注入漏洞(CVE-2020-27133)

该漏洞是对Jabber协议处理程序的输入处理不当导致的,其CVSS评分8.8。攻击者可以通过引导目标用户单击电子邮件或其它消息传递平台发送的消息中的链接来利用此漏洞。成功利用此漏洞的攻击者能够以运行Cisco Jabber客户端的账户权限在目标系统上实行任意命令。

影响范围:

Windows 版Cisco Jabber

 

Cisco Jabber消息处理脚本注入漏洞(CVE-2020-27134)

该漏洞是邮件内容验证不正确导致的,其CVSS评分8.0。攻击者可以通过向受影响的Jabber客户端发送恶意的XMPP消息来利用此漏洞。通过引导目标用户进行消息交互,攻击者可以在Jabber消息窗口界面内注入任意脚本代码。成功利用此漏洞的攻击者能够以运行Cisco Jabber客户端的账户权限在MacOS或Windows目标系统上实行任意代码。在移动平台上成功利用此漏洞的攻击者可以运行脚本来修改应用程序界面或从Jabber应用程序获取敏感信息。

影响范围:

Windows 版Cisco Jabber

MacOS版Cisco Jabber

mobile platforms版Cisco Jabber

 

0x02 处置建议

目前Cisco已经修复了相关漏洞,建议参考下表及时更新。

Windows版Cisco Jabber

受影响版本

修复版本

12.1之前版本

迁移到固定版本

12.1

12.1.4

12.5

12.5.3

12.6

12.6.4

12.7

12.7.3

12.8

12.8.4

12.9

12.9.3

MacOS版Cisco Jabber

12.7及之前版本

迁移到固定版本

12.8

12.8.5

12.9

12.9.4

Android和iOS版Cisco Jabber

12.8及之前版本

迁移到固定版本

12.9

12.9.4

 

下载链接:

https://software.cisco.com/download/find

 

0x03 参考链接

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-jabber-ZktzjpgO

https://threatpost.com/critical-cisco-jabber-bug-get-updated-fix/162143/

https://securityaffairs.co/wordpress/112163/hacking/cisco-jabber-rce.html?

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26085

 

0x04 时间线

2020-12-10  Cisco发布漏洞公告

2020-12-11  VSRC发布安全通告

 

0x05 附录

 

CVSS评分标准官网:http://www.first.org/cvss/

image.png