高严重性Cisco Webex缺陷已修复

思科系统公司在其流行的Webex视频会议平台中修补了两个高严重性漏洞，如果利用这些漏洞，攻击者可以在受影响的系统上执行代码。

与Webex平台绑定的两个多媒体播放器受到影响。 首先是Cisco Webex Network Recording Player，用于在Windows操作系统上播放高级记录格式（ARF）文件。 ARF文件包含来自录制的在线会议的数据，例如视频数据和与会者列表。 Cisco Webex Player也会受到影响，它曾经在Windows OS上播放Webex记录格式（WRF）文件。 WRF文件包含音频和视频记录，通常用于演示，培训和会议。

CVSS级别的漏洞（ CVE-2020-3127和CVE-2020-3128 ）均为7.8（10.0），使其具有很高的严重性。 思科表示，这是由于对存储在ARF或WRF中的Webex记录中未详细的“某些元素”的验证不足所致。

尽管思科没有详细说明这些漏洞的技术细节，但它表示“攻击者可以通过以下方式利用这些漏洞：通过链接或电子邮件附件向用户发送恶意的ARF或WRF文件，并说服用户在本地系统上打开文件，据思科在周三的咨询中表示 。 “成功利用漏洞可以使攻击者利用目标用户的特权在受影响的系统上执行任意代码。”

漏洞研究主管兼趋势科技ZDI程序负责人Brian Gorenc告诉Threatpost，该漏洞允许远程攻击者执行任意代码-但这确实需要用户交互。

他通过电子邮件告诉Threatpost：“利用此漏洞需要用户交互，因为目标必须访问恶意页面或打开恶意文件。” “特别是，此错误存在于atpdmod.dll模块中，可以使用精心制作的ARF文件访问易受攻击的代码。 该程序无法初始化指针，然后将数据写入该指针。 在最坏的情况下，这可能导致在当前进程的上下文中执行远程代码。”

根据所管理平台的不同，这些版本会影响不同版本的Webex Network Recording Player和Webex Player。 可从Cisco Webex Meetings和Cisco Webex Meetings Online（当会议系统由Cisco Webex管理时）和Cisco Webex Meetings Server（客户在其自己的私有云中托管和管理会议解决方案）中获得播放器。

对于Cisco Webex Meetings，这两种产品的受影响版本均包括早于WBS 39.5.17或WBS 39.11.0的版本。 对于Webex Meetings Online，两种产品的受影响版本都包括1.3.49之前的版本。 而且，对于Cisco Webex Meetings Server，Webex Network Recording Player的早期版本3.0MR3SecurityPatch1和4.0MR2SecurityPatch2会受到影响。

要确定系统上安装了哪个版本的Cisco Webex Network Recording Player或Cisco Webex Player，用户可以打开播放器并选择“帮助”>“关于”。 固定版本可以在下面找到。

思科表示，目前尚不了解攻击者正在利用的漏洞。 与趋势科技零日倡议组织合作的Francis Provencher（PRL）和Fortinet的FortiGuard Labs的Kexu Wang都发现了这些缺陷（Threatpost已与两位研究人员联系以获取有关该漏洞的更多详细信息，并将相应地更新此帖子）。

自今年年初以来，Webex一直被其他漏洞困扰。 一月份， 思科修复了 Webex中的一个高严重性漏洞 ，该漏洞可能使陌生人闯入受密码保护的会议而没有身份验证。 思科在一月份还披露了一个单独的高严重性漏洞，该漏洞可能使远程攻击者能够在Webex中执行命令。

除Webex之外，思科还于周三发布了补丁程序，以解决与13个CVE相关的缺陷。 其他高严重性漏洞包括Cisco Intelligent Proximity解决方案的SSL实施中的漏洞，该工具允许用户从自己的设备查看和控制会议室中的内容。 证书验证漏洞（ CVE-2020-3155 ）可能允许未经身份验证的远程攻击者查看或更改在Cisco Webex视频设备和Cisco协作端点上共享的信息。

而且，Cisco Prime Network Registrar中存在一个高度严重的跨站点请求伪造（CSRF）漏洞，该软件由各种服务的组件组成，包括域名系统（DNS）服务和动态主机配置协议服务。 注册服务商的在线界面中的漏洞（CVE-2020-3148）可能允许未经身份验证的远程攻击者对受影响的系统进行CSRF攻击。

对物联网的安全性以及5G如何改变威胁格局感兴趣？ 加入我们的免费Threatpost网络研讨会“ 5G，奥林匹克运动和下一代安全挑战” ，我们的小组讨论了2020年预期的用例（奥林匹克运动将是第一个测试），5G安全风险为何不同，作用防御中的AI以及企业如何管理风险。 在这里注册 。