思科修复了Windows版Jabber中的关键代码执行错误

9月3日早间消息：思科今天解决了一个严重的远程执行代码漏洞，该漏洞影响了其适用于Windows的Cisco Jabber多个版本的软件。Cisco Jabber for Windows是一款桌面协作应用程序，旨在为用户提供状态，即时消息(IM)，云消息，桌面共享以及音频，视频和Web会议。

Watchcom的Olav Sortland Thoresen发现并报告了此漏洞。思科产品安全事件响应团队(PSIRT)表示，该漏洞当前尚未被广泛利用。

跟踪为CVE-2020-3495的安全漏洞从思科获得了近9.9的CVSS基本得分，这是由于对传入消息内容进行不正确的输入验证而导致的。

通过恶意XMPP消息进行利用

使用恶意制作的可扩展消息和状态协议(XMPP)消息成功利用CVE-2020-3495，经过身份验证的远程攻击者可以在运行Windows未打补丁的Jabber的系统上执行恶意代码，从而成功利用这些漏洞。

利用此漏洞不需要用户交互，当Jabber for Windows客户端在后台运行时，CVE-2020-3495也可被利用。

思科解释说：“成功的利用可能使攻击者利用运行Cisco Jabber客户端软件的用户帐户的特权，使应用程序在目标系统上执行任意程序，有可能导致任意代码执行。”

攻击者必须访问受害者的XMPP域，才能发送成功利用此漏洞所需的恶意XMPP消息。

思科补充说：“作为利用的结果，攻击者可能导致应用程序运行该应用程序的本地文件路径中已经存在的任意可执行文件。”

“可执行文件将以启动Cisco Jabber客户端应用程序的用户的特权在最终用户系统上运行。”

正如Watchcom的Olav Sortland Thoresen在一份有关CVE-2020-3495的更多详细信息的报告中所解释的那样，攻击者还可以自动化利用过程，以创建能够自动传播到新设备的蠕虫。

“由于Cisco Jabber支持文件传输，所以攻击者可以启动包含恶意.exe文件的文件传输，并使用XSS攻击迫使受害者接受它，”然后在目标受害者的计算机上执行该恶意文件。

Windows系统的脆弱Jabber

使用仅电话模式配置的Windows Jabber系统和使用其他消息服务的系统不容易受到攻击。

该漏洞不会影响适用于macOS或移动平台的Cisco Jabber，它会影响所有当前支持的Windows Cisco Jabber客户端版本(12.1至12.9)，如下表所示。

上周末，思科警告客户，威胁行动者正在积极尝试利用两个零日拒绝服务(DoS)漏洞来影响运营商级路由器IOS XR软件。

如果在任何活动接口上启用了多播路由，则这两个安全漏洞会影响运行任何Cisco IOS XR软件版本的任何Cisco设备。

思科仍在致力于软件更新以解决这些漏洞，并提供缓解措施以部分或完全删除漏洞利用媒介。