Cisco lanzó esta semana actualizaciones de software para abordar múltiples vulnerabilidades que afectan a sus clientes de mensajería Jabber en Windows, macOS, Android e iOS. La explotación exitosa de los defectos podría permitir que un “atacante ejecutar programas arbitrarios en el sistema operativo subyacente con privilegios elevados, acceso a información sensible, interceptar el tráfico de […]
Cisco lanzó esta semana actualizaciones de software para abordar múltiples vulnerabilidades que afectan a sus clientes de mensajería Jabber en Windows, macOS, Android e iOS.
La explotación exitosa de los defectos podría permitir que un “atacante ejecutar programas arbitrarios en el sistema operativo subyacente con privilegios elevados, acceso a información sensible, interceptar el tráfico de red protegida o causar una denegación de servicio (DoS)”.
Los problemas se refieren a un total de cinco vulnerabilidades de seguridad, tres de las cuales (CVE-2021-1411, CVE-2021-1417 y CVE-2021-1418) fueron informadas a la empresa por Olav Sortland Thoresen de Watchcom, junto con otras dos (CVE -2021-1469 y CVE-2021-1471) descubiertos durante las pruebas de seguridad internas.
Cisco señala que las fallas no dependen unas de otras y que la explotación de cualquiera de las vulnerabilidades no depende de la explotación de otra. Pero para hacer esto, un atacante debe estar autenticado en un servidor de Protocolo de presencia y mensajería extensible (XMPP) que ejecute el software vulnerable, así como también poder enviar mensajes XMPP.
CVE-2021-1411 , que se refiere a una vulnerabilidad de ejecución de programa arbitraria en su aplicación de Windows, también es la más crítica, con una puntuación CVSS de 9,9 sobre un máximo de 10. Según Cisco, la falla se debe a una validación incorrecta del mensaje. contenido, lo que hace posible que un atacante envíe mensajes XMPP especialmente diseñados al cliente vulnerable y ejecute código arbitrario con los mismos privilegios que la cuenta de usuario que ejecuta el software.
Además de CVE-2021-1411, Cisco también ha corregido otras cuatro fallas de Jabber, contando: