Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
19/07/2017
Reportades greus vulnerabilitats en Cisco WebEx
S’han detectat greus vulnerabilitats en el servei de videoconferències Cisco WebEx. Les fallades detectades podrien provocar l’execució remota de codi.En total s’han detectat 4 vulnerabilitats qualificades de greus, la primera d’elles estaria provocada al llegir el JSON. La segona es troba localitzada en una expressió regular incompleta en "GpcScript". La tercera vulnerabilitat s’ha detectat en la crida de funcions que es troba en la llista blanca que fa ús de paràmetres sota control de l’usuari, l’atacant prodria fer una crida virtual que podria provocar l’execució de codi arbitrari.
Finalment, la quarta vulnerabilitat podria ser explotada per un atacant a l’actualitzar a una versió anterior del plugin, tot configurant els paràmetres "GpcExtVersion" i "GpcUrlRoot", amb la qual cosa es podria tornar a una versió del plugin que fóra vulnerable a altres atacs ja coneguts.
Podeu trobar els detalls de la notícia en el següent enllaç.
Sistemes Afectats:Plugin per a Google Chrome, versions anteriors a 1.0.12
Extensió per a Mozilla Firefox, versions anteriors a 1.0.12
Referències:
CVE-2017-6753
Solució:Actualitzar a les noves versions dels productes
Notes:Más información:
Cisco Security Advisory - Cisco WebEx Browser Extension Remote Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170717-webex
Cisco: WebEx Various GPC Sanitization bypasses permit Arbitrary Remote Command Execution
https://bugs.chromium.org/p/project-zero/issues/detail?id=1324