سیسکو دومین وصله‌ی مربوط به آسیب‌پذیری موجود در برنامه‌ی Webex Meetings را منتشر کرد!

 

شرکت سیسکو وصله‌ی جدیدی را برای آسیب‌پذیری موجود در برنامه‌ی Webex Meetings منتشر کرد. این آسیب‌پذیری که با شناسه‌ی CVE-2018-15442 ردیابی شده و WebExec نام دارد، توسط محققان Counter Hack کشف شده است. این آسیب‌پذیری نسخه‌های قبل از ۳۳٫۶٫۴ برنامه‌ی دسکتاپ Webex Meetings و نسخه‌ی ۳۲٫۶٫۰ و بعدتر و قبل از ۳۳٫۰٫۵ محصول Webex Productivity Tools را تحت تأثیر قرار می‌داد. سیسکو اولین وصله‌ی مربوط به این آسیب‌پذیری را در تاریخ ۲۴ اکتبر و پس از عمومی شدن کد اثبات مفهومی (PoC) آن توسط محققان منتشر کرده بود.


این حفره‌ی امنیتی ناشی از اعتبارسنجی نامناسب پارامترهای ارائه‌شده توسط کاربر به مهاجم اجازه می‌داد تا دستورات دلخواه خود را با امتیازات سطح SYSTEM اجرا کند. با این حال، سیسکو هشدار داد که درصورت نصب اکتیو دایرکتوری، بهره‌برداری از این آسیب‌پذیری به‌صورت از راه دور نیز امکان‌پذیر است. چند روز پس انتشار عمومی جزئیات آسیب‌پذیری، محققان شرکت SecureAuth متوجه شدند که وصله‌ی منتشر شده توسط سیسکو ناقص است و می‌توان آن را با استفاده از روش سرقتDLL  دور زد.

 
شرکت SecureAuth در تاریخ ۹ نوامبر این موضوع را به سیسکو اطلاع داد و این غول شبکه به‌سرعت نتایج را تایید کرد. شرکت سیسکو روز سه‌شنبه، ۲۷ نوامبر مجموعه‌ی جدیدی از وصله‌ها را منتشر کرد و مشاوره‌ی امنیتی خود را برای اطلاع‌رسانی به کاربران مبنی بر ناقص بودن وصله‌ی اولیه به‌روز نمود. این آسیب‌پذیری در آخرین نسخه‌ی برنامه‌ها وصله شده است. در برنامه‌ی Cisco Webex Meetings در نسخه‌ی ۳۳٫۶٫۴ و بعدتر و در نرم‌افزار Cisco Webex Productivity Tools در نسخه‌ی ۳۳٫۰٫۶ و بعدتر وصله شده است.

 

منبع۱

منبع۲

پست‌های مشابه

Leave a Comment