Cisco исправляет критические ошибки в проигрывателях WebEx

В популярном проигрывателе сетевых записей WebEx пропатчены шесть критических уязвимостей.

В среду компания Cisco Systems выпустила предупреждение о критических уязвимостях в популярном проигрывателе WebEx. В этом бюллетене указаны шесть новых ошибок, обнаруженных в Cisco WebEx Network Recording Player для файлов в форматах Advanced Recording Format (ARF) и WebEx Recording Format (WRF).

Согласно описанию Cisco, «удаленный злоумышленник может использовать эти уязвимости, предоставив пользователю вредоносный файл ARF или WRF по электронной почте или через URL-адрес и убедив его запустить такой файл».

Разработчик предупреждает, что эксплуатация уязвимостей открывает возможность для исполнения произвольного кода в системе. В менее серьезных случаях может произойти сбой проигрывателя.

Проблема затрагивает следующие продукты:

• Cisco WebEx Business Suite (WBS30), клиенты сборок ниже T30.20
• Cisco WebEx Business Suite (WBS31), клиенты сборок ниже T31.14.1
• Cisco WebEx Business Suite (WBS32), клиенты сборок ниже T32.2
• Cisco WebEx Meetings с клиентом сборки ниже T31.14
• Cisco WebEx Meeting Server сборок ниже 2.7MR3

Обходных путей для нейтрализации этих уязвимостей нет. Компания Cisco выпустила обновления программного обеспечения, которые устраняют ошибки. Также сообщается, что группе реагирования на инциденты с безопасностью продуктов Cisco не известно о каких-либо публичных эксплойтах.

Уязвимости присутствуют в проигрывателях Cisco WebEx ARF Player и Cisco WebEx WRF Player, которые используются для повторного воспроизведения сохраненных ранее конференций WebEx. По словам Cisco, эти проигрыватели устанавливаются автоматически, когда пользователь пытается воспроизвести сохраненные записи, размещенные на сервере WebEx.

Для снижения рисков обновлены сайты Cisco WebEx Business Suite для проведения встреч, сайты Cisco WebEx Meetings, сервер Cisco WebEx Meetings Server и проигрыватели Cisco WebEx ARF и WRF.

Новым уязвимостям присвоены следующие идентификаторы: CVE-2017-12367, CVE-2017-12368, CVE-2017-12369, CVE-2017-12370, CVE-2017-12371 и CVE-2017-12372. Все они получили оценку 9,6 балла из 10 возможных по шкале CVSS.

Четыре бреши представляют собой критические уязвимости типа RCE (удаленное выполнение кода). Уязвимость CVE-2017-12367 влечет отказ в обслуживании; CVE-2017-12369 связана с выходом за пределы допустимого диапазона памяти.

«Для эксплойта этих уязвимостей приложение-проигрыватель должно открыть вредоносный файл ARF или WRF. Злоумышленник может добиться этого, предоставив пользователю вредоносный файл с записью напрямую (например, по электронной почте) или через ссылку на зараженную веб-страницу. Если пользователь подключен к конференции WebEx, преступник не сможет использовать уязвимость», — поясняет Cisco.

В июле Cisco обновила расширения WebEx для Chrome и Firefox, так как исследователи Тэвис Орманди (Tavis Ormandy) и Крис Некар (Cris Neckar) обнаружили уязвимость, которую можно было использовать для удаленного выполнения кода.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля