CVE-2020-3495 | Cisco Jabber远程代码执行漏洞通告
发布时间 2020-09-030x00 漏洞概述
CVE ID | CVE-2020-3495 | 时 间 | 2020-09-03 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响范围 | 所有适用Windows Cisco Jabber客户端版本（12.1至12.9） |
2020年09月02日，Cisco官方修复了一个严重的远程代码执行漏洞（CVE-2020-3495），该漏洞CVSS评分为9.9分。
CVE-2020-3495漏洞由Watchcom的安全研究人员Olav Sortland Thoresen发现并报告，思科产品安全事件响应团队（PSIRT）表示该漏洞当前尚未被广泛利用。
0x01 漏洞详情
Cisco Jabber for Windows是一款桌面协作应用程序，主要为用户提供状态、即时消息（IM）、消息、桌面共享、视频音频会议和Web会议服务。
CVE-2020-3495是由于邮件内容验证不正确引起的。攻击者通过使用恶意的可扩展消息和状态协议（XMPP）消息来利用此漏洞，通过身份验证的远程攻击者可以在未打补丁的 Cisco Jabber for Windows 的系统上执行恶意代码。并且，该漏洞的利用不需要用户交互，当Jabber for Windows客户端在后台运行时该漏洞也可被利用。
但如果要利用此漏洞，攻击者必须能够向运行Windows的Cisco Jabber的最终用户系统发送XMPP消息。若成功利用此漏洞，会导致应用程序运行的本地文件路径中被上传任意执行文件，该可执行文件将会以启动Jabber客户端应用程序的用户的特权在用户系统上运行。
但仅在phone-only mode模式下使用Jabber并且没有启用XMPP消息服务时系统不易受到攻击，当Jabber设置为使用除XMPP消息传递以外的消息传递服务时，该漏洞则无法被利用。
0x02 处置建议
建议升级到适当的版本：
受影响版本 | 更新版本 |
12.1 | 12.1.3 |
12.5 | 12.5.2 |
12.6 | 12.6.3 |
12.7 | 12.7.2 |
12.8 | 12.8.3 |
12.9 | 12.9.1 |
下载地址：
https://software.cisco.com/download/home/284324806/type/284006014/release/12.6(3)
0x03 相关新闻
https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-code-execution-bug-in-jabber-for-windows/
https://securityaffairs.co/wordpress/107834/security/cisco-jabber-for-windows-flaw.html
0x04 参考链接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-jabber-UyTKCPGg
0x05 时间线
2020-09-02 Cisco发布安全公告
2020-09-03 VSRC发布安全通告
京公网安备11010802024551号