Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
19/07/2017
Reportadas graves vulnerabilidades en Cisco WebEx
Se han detectado graves vulnerabilidades en el servicio de videoconferencias Cisco WebEx. Los fallos detectados podrían provocar la ejecución remota de código.En total se han detectado 4 vulnerabilidades calificadas como graves, la primera de ellas estaría provocada al leer el JSON. La segunda se encuentra localizada en una expresión regular incompleta en "GpcScript". La tercera vulnerabilidad se ha detectado en la llamada de funciones que se encuentra en la lista blanca que hace uso de parámtros bajo control del usuaario, el atacante prodría hacer una llamada virtual que podrá provocar resultar una ejecución de código arbitrario.
Por último, la cuarta vulnerbilidad podría ser explotada por un atacante al actualizar a una versión anterior del plugin configurando los parámetros "GpcExtVersion" y "GpcUrlRoot" con lo que se podría volver al una versión del plugin que fuese vulnerables a otros ataques ya conocidos.
Podéis encontrar los detalles de la noticia en el siguiente enlace
Sistemas Afectados:Plugin para Google Chrome, versiones anteriores a 1.0.12
Extensión para Mozilla Firefox, versiones anteriores a 1.0.12
Referencias:
CVE-2017-6753
Solución:Actualizar a las nuevas versiones de los productos
Notas:Más información:
Cisco Security Advisory - Cisco WebEx Browser Extension Remote Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170717-webex
Cisco: WebEx Various GPC Sanitization bypasses permit Arbitrary Remote Command Execution
https://bugs.chromium.org/p/project-zero/issues/detail?id=1324