Capture d'écran promotionnelle de l'application de vidéoconférence collaborative.

Jusqu’à mercredi, un seul message texte envoyé via l’application de collaboration Jabber de Cisco suffisait pour déclencher une attaque auto-répliquante qui propagerait des logiciels malveillants d’un utilisateur Windows à un autre, ont déclaré les chercheurs qui ont développé l’exploit.

L’attaque wormable était le résultat de plusieurs failles, que Cisco a corrigées mercredi, dans le cadre intégré Chromium qui constitue la base du client Jabber. Un filtre conçu pour bloquer le contenu potentiellement malveillant dans les messages entrants n’a pas réussi à examiner le code invoquant une interface de programmation connue sous le nom de « onanimationstart ». »

Sautant à travers des cerceaux

Mais même dans ce cas, le filtre bloquait toujours le contenu contenant < style >, une balise HTML qui devait être incluse dans une charge utile malveillante. Pour contourner cette protection, les chercheurs ont utilisé un code adapté à un composant d’animation intégré appelé spinner-grow. Avec cela, les chercheurs ont pu réaliser un exploit de script intersite qui injectait une charge utile malveillante directement dans les composants internes du navigateur intégré à Jabber.

Un bac à sable de sécurité intégré au framework intégré Chromium, ou CEF, stockerait normalement la charge utile dans un conteneur isolé des parties sensibles de l’application. Pour contourner cette contrainte, les chercheurs ont abusé de la fenêtre.Fonction CALLCPP, conçue pour ouvrir les fichiers envoyés par d’autres utilisateurs de Cisco Jabber. En manipulant un paramètre de fonction qui accepte les fichiers, les chercheurs ont pu sortir du bac à sable.

Voir plus

 » Puisque Cisco Jabber prend en charge les transferts de fichiers, un attaquant peut lancer un transfert de fichiers contenant un malveillant.fichier exe et forcer la victime à l’accepter en utilisant une attaque XSS « , ont écrit des chercheurs de la société de sécurité Watchcom Security dans un article. « L’attaquant peut alors déclencher un appel à window.Fonction CALLCPP, provoquant l’exécution du fichier malveillant sur la machine de la victime. »

Les vers informatiques sont parmi les types d’attaque de logiciels malveillants les plus puissants, car une seule frappe peut toucher une chaîne de dégâts consécutifs, de la même manière que renverser un domino fait tomber des milliers de dominos derrière lui. Lorsque l’attaque vermifuge réalise l’exécution de code à distance — comme c’est le cas ici — les vers sont les plus graves. Les correctifs apportés par Cisco interviennent alors que de plus en plus d’entreprises s’appuient sur la vidéoconférence pour effectuer leur travail quotidien.

En conséquence, CVE-2020-3495, la désignation attribuée à la vulnérabilité Cisco Jabber, a une cote de gravité de 9,9 sur un maximum de 10 en fonction du système de notation de vulnérabilité commun. L’avis de Cisco contient plus de détails ici.

Plus d’exécution de code

Les chercheurs de Watchcom ont conçu une attaque d’exécution de code distincte qui exploitait une vulnérabilité différente. Celui-ci a fonctionné en abusant des gestionnaires de protocole Cisco Jabber, qui aident le système d’exploitation à savoir quoi faire lorsqu’un utilisateur clique sur une URL contenant un protocole spécifique à Jabber.

Les chercheurs ont expliqué:

Ces gestionnaires de protocole sont vulnérables à l’injection de commandes car ils ne prennent pas en compte les URL contenant des espaces. En incluant un espace dans l’URL, un attaquant peut injecter des indicateurs de ligne de commande arbitraires qui seront transmis à l’application. Étant donné que l’application utilise CEF et accepte les indicateurs de ligne de commande Chromium, plusieurs indicateurs peuvent être utilisés pour exécuter des commandes arbitraires ou charger des DLL arbitraires. Un exemple d’un tel drapeau estGPUGPU-launcher. Cet indicateur spécifie une commande qui sera exécutée au démarrage du processus GPU CEFs.

Cette vulnérabilité peut être combinée avec la vulnérabilité XSS pour exécuter du code sans transférer de fichiers à la victime. Cela permet de fournir des logiciels malveillants sans écrire de fichiers sur le disque, contournant ainsi la plupart des logiciels antivirus.

La vidéo ci-dessous montre l’exploit de preuve de concept qu’ils ont développé.

Démonstration d’exploit Cisco Jabber – découverte par Watchcom Security Group.

CVE-2020-3430 porte un score de gravité de 8,8.

Deux autres vulnérabilités – CVE-2020-3537 et CVE-2020-3498— avoir des cotes de gravité de 5,7 et 6,5, respectivement.

Publicité

Les vulnérabilités affectent Cisco Jabber pour les versions Windows 12.1 à 12.9.1. Les personnes utilisant des versions vulnérables doivent mettre à jour dès que possible.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée.