【漏洞通告】 Cisco Jabber12月多个安全漏洞

0x00 漏洞概述

0x01 漏洞详情

Cisco Jabber是一个即时消息和web会议桌面应用程序，它使用可扩展消息和状态协议（XMPP）在用户之间传递消息。该应用程序基于Chromium Embedded Framework（CEF）构建，其UI使用HTML、CSS和JavaScript等web技术。

2020年12月10日，Cisco发布安全公告，Jabber中存在多个安全漏洞（CVE-2020-26085、CVE-2020-27127、CVE-2020-27132、CVE-2020-27133和CVE-2020-27134）。这些漏洞并不相互依赖，攻击者能够利用它们在系统上执行任意代码，或窃取敏感信息。

要利用CVE-2020-26085和CVE-2020-27134这两个消息处理漏洞，攻击者需要访问同一XMPP域或使用其它方法向Cisco Jabber客户端发送可扩展消息和状态协议（XMPP）消息。处于phone-only模式下且未启用XMPP消息服务的Cisco Jabber不容易受到攻击。此外，如果将Cisco Jabber配置为使用XMPP消息传递以外的其它消息传递服务，则漏洞无法利用。

漏洞详情如下：

Cisco Jabber消息处理中的任意代码执行漏洞（CVE-2020-26085）

该漏洞是邮件内容验证不正确导致的，其CVSS评分9.9。攻击者可以通过向受影响的Jabber客户端发送恶意的XMPP消息来利用此漏洞。成功利用此漏洞的攻击者能够以运行Cisco Jabber客户端的账户权限在目标系统上执行任意代码。

影响范围：

Windows 版Cisco Jabber

MacOS版Cisco Jabber

Cisco Jabber for Windows自定义协议处理程序未授权访问漏洞（CVE-2020-27127）

该漏洞是对Jabber协议处理程序的输入处理不当导致的，其CVSS评分4.3。攻击者可以通过引导目标用户单击电子邮件或其它消息传递平台发送的消息中的链接来利用此漏洞。成功利用此漏洞的攻击者可以向Cisco Jabber客户端发送任意命令，从而可能使攻击者修改应用程序配置。

影响范围：

Windows 版Cisco Jabber

Cisco Jabber信息泄露漏洞（VE-2020-27132）

该漏洞是邮件内容验证不正确导致的，其CVSS评分6.5。攻击者可以通过向目标系统发送恶意消息来利用此漏洞。成功利用此漏洞的攻击者可以使Jabber将身份验证等敏感信息返回给另一个系统，以便于进一步攻击。

影响范围：

Windows 版Cisco Jabber

MacOS版Cisco Jabber

Cisco Jabber for Windows自定义协议处理程序命令注入漏洞（CVE-2020-27133）

该漏洞是对Jabber协议处理程序的输入处理不当导致的，其CVSS评分8.8。攻击者可以通过引导目标用户单击电子邮件或其它消息传递平台发送的消息中的链接来利用此漏洞。成功利用此漏洞的攻击者能够以运行Cisco Jabber客户端的账户权限在目标系统上执行任意命令。

影响范围：

Windows 版Cisco Jabber

Cisco Jabber消息处理脚本注入漏洞（CVE-2020-27134）

该漏洞是邮件内容验证不正确导致的，其CVSS评分8.0。攻击者可以通过向受影响的Jabber客户端发送恶意的XMPP消息来利用此漏洞。通过引导目标用户进行消息交互，攻击者可以在Jabber消息窗口界面内注入任意脚本代码。成功利用此漏洞的攻击者能够以运行CiscoJabber客户端的账户权限在MacOS或Windows目标系统上执行任意代码。在移动平台上成功利用此漏洞的攻击者可以运行脚本来修改应用程序界面或从Jabber应用程序获取敏感信息。

影响范围：

Windows 版Cisco Jabber

MacOS版Cisco Jabber

mobile platforms版Cisco Jabber

0x02 处置建议

目前Cisco已经修复了相关漏洞，建议参考下表及时更新。

下载链接：

https://software.cisco.com/download/find

0x03 参考链接

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-jabber-ZktzjpgO

https://threatpost.com/critical-cisco-jabber-bug-get-updated-fix/162143/

https://securityaffairs.co/wordpress/112163/hacking/cisco-jabber-rce.html?

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26085

0x04 时间线

2020-12-10  Cisco发布漏洞公告

2020-12-11  VSRC发布安全通告

0x05 附录

CVSS评分标准官网：http://www.first.org/cvss/

本文始发于微信公众号（维他命安全）：【漏洞通告】 Cisco Jabber12月多个安全漏洞