搜索

[28356] 2020-06-20_思科WebexMeetings的新漏洞使攻击者能够窃取身份验证令牌

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-19
2020-06-20_思科WebexMeetings的新漏洞使攻击者能够窃取身份验证令牌 思 科 W e b e x   M e e t i n g s 的 新 漏 洞 使 攻 击 者 能 够 窃 取 身 份 验 证 令 牌 O t s 安 全   2 0 2 0 - 0 6 - 2 0 W i n d o w s 的 C i s c o   W e b e x   M e e t i n g s 客 户 端 中 发 现 的 一 个 新 漏 洞 可 能 允 许 经 过 本 地 身 份 验 证 的 攻 击 者 访 问 敏 感 信 息 ， 包 括 用 户 名 ， 身 份 验 证 令 牌 和 会 议 信 息 。 C i s c o   W e b e x   M e e t i n g s 是 用 于 安 排 和 加 入 会 议 的 视 频 会 议 和 在 线 会 议 软 件 ， 支 持 演 示 ， 屏 幕 共 享 和 录 制 。 T r u s t w a v e   S p i d e r L a b s 安 全 研 究 经 理 M a r t i n   R a k h m a n o v     于 4 月 2 3 日 报 告 称 ， 作 为 C V E - 2 0 2 0 - 3 3 4 7 跟 踪 的 信 息 泄 露 漏 洞 会 影 响 4 0 . 6 . 0 之 前 的 W i n d o w s 版 C i s c o   W e b e x   M e e t i n g s 桌 面 应 用 程 序 。 通 过 共 享 内 存 公 开 的 身 份 验 证 令 牌 C V E - 2 0 2 0 - 3 3 4 7 是 由 于 共 享 内 存 的 不 安 全 使 用 造 成 的 ， 用 于 W i n d o w s 的 C i s c o   W e b e x   M e e t i n g s 桌 面 客 户 端 用 于 与 基 础 W i n d o w s 操 作 系 统 和 系 统 上 的 其 他 应 用 程 序 交 换 信 息 。 该 共 享 内 存 空 间 可 以 存 储 高 度 敏 感 的 信 息 ， 包 括 身 份 验 证 令 牌 ， 用 户 名 和 会 议 信 息 ， 这 些 信 息 可 能 会 被 恶 意 的 本 地 用 户 或 进 程 窃 取 ， 并 随 后 用 于 登 录 受 害 者 的 W e b E x 帐 户 。 R a k h m a n o v 发 现 ， 安 全 保 护 不 当 的 跟 踪 文 件 包 含 用 于 登 录 的 电 子 邮 件 帐 户 ， 用 于 主 持 会 议 的 U R L 以 及 W e b E x A c c e s s T o k e n ， 这 些 信 息 可 以 被 攻 击 者 用 来 “ 假 冒 用 户 并 获 得 对 W e b E x 帐 户 的 访 问 权 限 ”   。 ” W e b e x 内 存 映 射 文 件 （ T r u s t w a v e ） 因 此 ， 可 以 将 被 盗 的 帐 户 用 作 将 来 攻 击 的 一 部 分 ， 或 立 即 用 于 查 看 和 编 辑 会 议 ， 下 载 会 议 记 录 等 。 内 存 信 息 泄 漏 漏 洞 会 影 响 已 将 C i s c o   W e b e x   M e e t i n g s   W i n d o w s 应 用 配 置 为 自 动 登 录 的 系 统 - 这 是 默 认 且 最 常 见 的 配 置 。 C V E - 2 0 2 0 - 3 3 4 7 缓 解 缓 解 目 前 ， 尚 没 有 解 决 此 信 息 泄 露 漏 洞 的 已 知 解 决 方 法 ， 但 思 科 已 于 2 0 2 0 年 6 月 1 7 日 发 布 了 免 费 软 件 更 新 以 解 决 潜 在 问 题 。 思 科 在 适 用 于 W i n d o w s 的 C i s c o   W e b e x   M e e t i n g s   D e s k t o p   A p p   4 0 . 6 . 0 及 更 高 版 本 （ 锁 定 版 本 的 3 9 . 5 . 2 6 及 更 高 版 本 ） 中 修 补 了 C V E - 2 0 2 0 - 3 3 4 7 。 公 告 发 布 时 ， 思 科 产 品 安 全 事 件 响 应 团 队 （ P S I R T ） 不 了 解 公 共 报 告 或 对 该 漏 洞 的 恶 意 使 用 。 W i n d o w s 用 户 可 以 使 用 “   更 新 C i s c o   W e b e x   M e e t i n g s 桌 面 应 用 程 序     帮 助 中 心 ” 文 章 中 提 供 的 说 明 来 更 新 其 客 户 端 ， 而 管 理 员 可 以 使 用 《   C i s c o   W e b e x   M e e t i n g s 大 规 模 部 署 I T 管 理 员 指 南 》 中 详 细 介 绍 的 过 程 为 其 用 户 更 新 应 用 程 序 。     桌 面 应 用 程 序 。 昨 天 ， 思 科 解 决 了 另 外 两 个 严 重 的 安 全 漏 洞 ， 这 些 漏 洞 影 响 了 适 用 于 W i n d o w s 和 m a c O S 的 C i s c o   W e b e x   M e e t i n g s   D e s k t o p 应 用
程 序 ， 这 些 漏 洞 可 能 允 许 无 特 权 的 攻 击 者 在 未 修 补 的 设 备 上 运 行 任 意 代 码 和 程 序 。 在 2 0 1 9 年 2 月 ， 思 科 还 修 复 了 适 用 于 W i n d o w s 的 C i s c o   W e b e x   M e e t i n g s   D e s k t o p   A p p 的 更 新 服 务 中 发 现 的 特 权 升 级 错 误 ， 该 错 误 可 能 使 未 经 身 份 验 证 的 本 地 攻 击 者 提 升 特 权 并 执 行 具 有 S Y S T E M 特 权 的 任 意 命 令 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理