Lỗ hổng trên Cisco Jabber cho phép tin tặc tấn công hệ thống Windows từ xa

Mới đây, nhà sản xuất thiết bị mạng Cisco đã phát hành một phiên bản mới cho ứng dụng nhắn tin và hội nghị trực tuyến Jabber dành cho Windows, bao gồm các bản vá cho nhiều lỗ hổng khác nhau. Nếu bị khai thác, những lỗ hổng này có thể cho phép kẻ tấn công xác thực thực thi mã tùy ý từ xa.



Các lỗ hổng được phát hiện bởi công ty an ninh mạng Watchcom của Na Uy trong một cuộc kiểm thử xâm nhập . Nó ảnh hưởng đến tất cả các phiên bản đang hoạt động của Jabber client (12.1-12.9) và hiện tại nó đã được vá bởi Cisco.



Hai trong số bốn lỗ hổng có thể bị khai thác để thực thi mã từ xa (RCE) trên các hệ thống của nạn nhân bằng cách gửi các tin nhắn được thiết kế đặc biệt cho các cuộc trò chuyện nhóm hoặc cá nhân.



Nghiêm trọng nhất trong số đó là một lỗ hổng có số hiệu CVE-2020-3495, với điểm CVSS là 9,9. Lỗ hổng này xuất hiện do quá trình xác thực nội dung tin nhắn không đúng cách, từ đó có thể bị kẻ tấn công lợi dụng để gửi các tin nhắn Extensible Messaging and Presence Protocol ( XMPP ) được thiết kế độc hại đến các phần mềm Jabber bị ảnh hưởng.



“Nếu khai thác thành công, kẻ tấn công có thể khiến ứng dụng khởi chạy các chương trình tùy ý trên hệ thống của nạn nhân với đặc quyền của tài khoản người dùng đang chạy Cisco Jabber. Và cuối cùng dẫn đến thực thi mã tùy ý,” Cisco tiết lộ trong một bản tư vấn bảo mật .



Chỉ ít ngày trước đó, công ty này cũng đã lên tiếng cảnh báo về một lỗ hổng zero-day đang bị tích cực khai thác trong phần mềm bộ định tuyến IOS XR.



Từ một lỗi XSS đến lỗi RCE 



XMPP (ban đầu được gọi là Jabber) là một giao thức truyền thông dựa trên XML, được sử dụng để giúp việc nhắn tin tức thời giữa hai hay nhiều thực thể mạng bất kỳ trở nên dễ dàng hơn.



Nó cũng được thiết kế để có thể mở rộng và thu nhận thêm các chức năng bổ sung, một trong số đó là XEP-0071: XHTML-IM – một thông số kỹ thuật đưa ra các quy tắc trao đổi nội dung HTML bằng cách sử dụng giao thức XMPP.



Được biết lỗ hổng trong Cisco Jabber phát sinh từ một lỗi cross-site scripting ( XSS ) khi phân tích các tin nhắn XHTML-IM.



“Ứng dụng đã không phân tích đúng cách các tin nhắn HTML đến mà lại chuyển chúng qua một bộ lọc XSS bị lỗi,” các nhà nghiên cứu của Watchcom giải thích.



Vì thế, một tin nhắn XMPP hợp lệ có thể bị chặn và sửa đổi, và khiến ứng dụng chạy một tệp thực thi tùy ý đã tồn tại trong đường dẫn tệp cục bộ của ứng dụng.



Để đạt được điều này, nó đã lợi dụng một chức năng dễ bị tấn công trong Chromium Embedded Framework ( CEF ), mà có thể bị tin tặc khai thác để thực thi các file “.exe” giả mạo trên máy của nạn nhân (CEF là một khung mã nguồn mở được sử dụng để nhúng trình duyệt web Chromium trong các ứng dụng khác).



Tuy nhiên để khai thác thành công lỗ hổng, những kẻ tấn công cần phải có quyền truy cập vào tên miền XMPP của nạn nhân để gửi các tin nhắn XMPP độc hại.



Bên cạnh đó, ba lỗ hổng khác trong Jabber (CVE-2020-3430, CVE-2020-3498, CVE-2020-3537) có thể bị khai thác để chèn các lệnh độc hại, gây rò rỉ thông tin, và có khả năng lén lút thu thập các NTLM password hash của người dùng .



Tình hình dịch bệnh hiện nay đã khiến các ứng dụng hội nghị trực tuyến được sử dụng phổ biến hơn bao giờ hết. Vì thế, người dùng Jabber cần hết sức cẩn trọng và nhanh chóng cập nhật phiên bản mới nhất của phần mềm để có thể giảm thiểu tối đa rủi ro.



“Sự phổ biến của các ứng dụng trực tuyến gần đây đã khiến chúng trở thành mục tiêu hấp dẫn đối với những kẻ tấn công. Những ứng dụng này không những lưu trữ nhiều thông tin nhạy cảm được chia sẻ qua các cuộc gọi video hoặc tin nhắn tức thời, mà nó còn được sử dụng bởi đa số nhân viên, kể cả những nhân viên chủ chốt với đặc quyền cao trong các hệ thống IT quan trọng,” Watchcom cho biết.



“Vậy nên, vấn đề bảo mật trong các ứng dụng này là điều tối quan trọng. Và chúng ta cần phải đảm bảo cả ứng dụng lẫn cơ sở hạ tầng mà chúng đang sử dụng đều được kiểm tra các lỗi bảo mật thường xuyên.”



Theo   The Hacker News
The post Lỗ hổng trên Cisco Jabber cho phép tin tặc tấn công hệ thống Windows từ xa appeared first on SecurityDaily .