标签: WebEx

思科发布关键补丁来解决其 WebEx 软件的远程代码执行漏洞

据外媒报道,思科近日发布了一个关键补丁来修复其 WebEx 软件中的一个严重漏洞(CVE-2018-0112),该漏洞可能被远程攻击者利用,通过武器化的 Flash 文件在目标机器上执行任意代码。目前 WebEx Business Suite 或 WebEx Meetings 的客户端和服务器版本受到该漏洞的影响,思科敦促其用户更新其软件以解决问题。 该漏洞是由于 Cisco WebEx 客户端的输入验证不足造成的。攻击者可以通过客户端的文件共享功能向与会者提供一个恶意 Flash(.swf)文件,从而利用此漏洞。目前该漏洞已获得 9.0 的 CVSS 评分,思科将其评为“严重”。 思科已经发布了修复该漏洞的软件更新,并确认尚无任何利用该漏洞的攻击案例。此外,思科补充说目前没有解决该问题的解决方法,因此建议用户将 WebEx Business Suite 软件更新至 T32.10 和 T31.23.2 版本, WebEx Meetings 客户端软件更新至 T32.10,Meetings Server 更新至 2.8 MR2。 消息来源:Security Affairs,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

思科修复浏览器 WebEx 扩展中的关键漏洞

HackerNews.cc 17 日消息,Google Project Zero 安全研究人员近期发现思科( Cisco )系统在 Chrome 与 Firefox 浏览器的 WebEx 扩展中存在一处关键漏洞 ( CVE-2017-6753 ) ,允许攻击者在受害设备上远程执行恶意代码、获取系统控制权限。 Cisco WebEx 是一种流行的在线事件交流工具,包括会议、网络研讨会与视频会议,旨在帮助用户与世界各地的同事建立联系。目前,这一扩展拥有约 2000 万活跃用户。 经思科官方确认,以下版本的 Cisco WebEx 浏览器扩展受到此次漏洞的影响: 在 Google Chrome 上的 Cisco WebEx 扩展(1.0.12 之前的版本) 在 Mozilla Firefox 上的 Cisco WebEx 扩展(1.0.12 之前的版本) 据悉,目前 Cisco 已修补漏洞,并发布了针对 Chrome 与 Firefox 浏览器的更新程序 “ Cisco WebEx 扩展 1.0.12”。思科公司证实,Cisco WebEx 生产工具、适用于 Mac 或 Linux 的 Cisco WebEx 浏览器扩展、以及 Microsoft Edge 或 Internet Explorer 上的 Cisco WebEx 不受此漏洞的影响。安全专家建议用户尽快升级扩展版本;将系统软件设置为非特权用户运行,以减少漏洞攻击影响。 原作者:Swati Khandelwal,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

WebEx 浏览器插件现远程代码执行漏洞,或诱发大规模攻击事件

23 日,Google Project Zero 安全专家 Tavis Ormandy 对外表示,Cisco WebEx 浏览器插件中存在一个严重的远程代码执行漏洞,或可诱发大规模攻击事件。 专家发现攻击者可使用包含 magic (魔术)字符串的任意 URL 触发漏洞,从而达到在 WebEx 用户系统上执行任意代码的目的。思科曾试图通过限制 https:// * .webex.com 和 https:// * .webex.com 域来解决这一问题,但并未达到效果。研究员强调,由于 magic 模式内嵌于 <iframe> 标签中,即使没有 XSS 攻击者仍可执行任意代码。 Mozilla 方面对思科的修复方式并不满意,同时指出 webex.com 没有严格遵循 Web安全协议(HSTS)和内容安全策略(CSP)。目前谷歌和 Mozilla 表示已暂时从应用商店中删除了 WebEx 插件,直至 Cisco 发布正确的解决方案为止。考虑到 Google Chrome 的 WebEx 插件至少有 2000 万活跃用户,这一漏洞的爆发恐将造成重大影响。 安全专家 Ormandy 已对外发布 PoC 进行漏洞演示,只需用户电脑上装有 WebEx 插件即可成功复现漏洞。演示链接:https://lock.cmpxchg8b.com/ieXohz9t/ 稿源:HackerNews.cc 翻译/整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。