نقص امنیتی موجود در ویدئو کنفرانس Jabber سیسکو

در پی نقص امنیتی موجود در نرم‌افزار ویدئو کنفرانس Jabber، شرکت سیسکو، نسخه جدیدی از این نرم‌افزار را برای سیستم‌عامل‌های ویندوز منتشر کرد که در این بروزرسانی، آسیب‌پذیری‌های موجود را وصله زده است. تبعات ناشی از این ‫آسیب‌پذیری ممکن است بسیار خطرناک باشد و در صورت بهره‌برداری از آن، احراز هویت مهاجم غیرمجاز تأیید شده و در نتیجه می‌تواند از راه دور کد دلخواد را اجرا کند. شدیدترین و خطرناک‌ترین نقص امنیتی مربوط به آسیب‌پذیری با شناسه "CVE-2020-3495" و به دلیل اعتبارسنجی نادرست محتویات پیام است. با ارسال پیام مخرب و ساختگی Extensible Messaging and Presence Protocol (XMPP) توسط مهاجم، نرم‌افزار تحت تأثیر، مورد سوءاستفاده قرار می‌گیرد. این نقص دارای امتیاز CVSS 9.9 و شدت بحرانی است.

بنا بر اظهارات منتشر شده از طرف شرکت سیسکو: بهره‌برداری موفق از این آسیب‌پذیری موجب خواهد شد تا اپلیکیشن، برنامه‌های دلخواه را با سطح دسترسی حساب‌کاربری‌ای که در حال اجرای نرم‌افزار کلاینت Jabber می‌باشد، بر روی سیستم هدف اجرا کند و منجر به اجرای کد دلخواه شود. این نقص پس از هشدار سیسکو مبنی بر بهره‌برداری از نقص روز صفرم نرم‌افزار روتر IOS XR به وجود آمد.
XMPP (که Jabber نامیده می‌شود) یک پروتکل ارتباطی مبتنی بر XML است که جهت سهولت در امر پیام‌رسانی فوری بین دو یا چند شبکه استفاده می‌شود، این پروتکل به گونه‌ای طراحی شده است که توسعه‌پذیر بوده و امکان اضافه شدن قابلیت‌های جدید از جمله XEP-0071: XHTML-IM به آن وجود دارد. نقص Cisco Jabber در واقع ناشی از آسیب‌پذیری (cross-site scripting (XSS به هنگام تجزیه و تحلیل پیام XHTML-IM می‌باشد.

به گفته محققان Watchcom، این اپلیکیشین، پیام‌های HTML ورودی را به خوبی بررسی نمی‌کند و در عوض آن‌ها را از طریق فیلتر XSS معیوب، منتقل می‌کند؛ در نتیجه یک پیام مجاز XMPP، قطع و اصلاح شده و باعث خواهد شد تا اپلیکیشن، یک برنامه اجرایی دلخواه را که از قبل در مسیر فایل محلی اپلیکیشن وجود داشته را اجرا کند. برای این امر، از تابع آسیب‌پذیر Chromium Embedded Framework (CEF) یعنی یک فریمورک اوپن سورس که در مرورگر وب اپلیکیشن‌های دیگر استفاده می‌شود، بهره گرفته می‌شود. این امر می‌تواند توسط مهاجم مورد سوءاستفاده قرار گرفته و منجر به اجرای فایل "exe."در دستگاه قربانی شود.
بااین وجود، مهاجمان باید به دامنه‌های XMPP قربانی دسترسی داشته باشند تا جهت بهره‌برداری موفق از آسیب‌پذیری مذکور، پیام مخرب XMPP را ارسال کنند. علاوه بر این، سه نقص دیگر با شناسه‎‌های "CVE-2020-3537"، "CVE-2020-3498" و "CVE-2020-3430"، می‌تواند جهت تزریق دستورات مخرب و افشای اطلاعات مورد بهره‌برداری قرار گیرند، از جمله پسورد هش شده NTLM کاربران.

جهت کاهش خطرهای احتمالی، نرم‌افزار خود را به جدیدترین نسخه و نسخه‌هایی که این آسیب‌پذیری در آن‌ها رفع شده است(یعنی 12.1.3 , 12.5.2, 12.6.3, 12.7.2, 12.8.3 و 12.9.1) بروزرسانی کنید.

منابع:

[1] https://thehackernews.com/2020/09/cisco-jabber-hacking.html
[2] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-3495
[3] https://www.helpnetsecurity.com/2020/09/03/cve-2020-3495/