Cisco patcht opnieuw grote kwetsbaarheden in Jabber die rce mogelijk maakten

Cisco heeft opnieuw een remote code execution-kwetsbaarheid in zijn Jabber-messagingsoftware opgelost. Het gat, dat in september aan het licht kwam, bleek destijds niet goed gepatcht en nu opnieuw behandeld door Cisco. Het gat krijgt een CVSS-score van 9,9.

Het gaat om een kwetsbaarheid in het chatgedeelte van Jabber. Een aanvaller kon met een enkel bericht, waaruit niet op te maken viel dat er iets aan de hand was, remote code execution-privileges bemachtigen bij het doelwit. Dit doordat de app malafide elementen niet goed weet te filteren. Het doelwit kan iedere gebruiker zijn en de enige oplossing ervoor is om te updaten naar de een recent uitgebrachte versie; er zijn geen workarounds en alle platformen zijn getroffen. Zowel in september als nu is het securitybedrijf Watchcom dat aan de belt trekt.

De kwetsbaarheden zijn CVE-2020-26085, 27132, 27133, 27134 en 27127. Cisco heeft in zijn rapport een overzicht van welke versies van zijn releases de kwetsbaarheid niet meer hebben. Het advies van het securitybedrijf dat toen en nu de kwetsbaarheden aan het licht stelt, is om onmiddellijk te updaten en totdat dat gebeurd is de externe communicaties te blokkeren.

Proof of concept ten tijde van de eerste bekendmaking, begin september 2020

Reacties (30)

[kodak]

Het lijkt er dus op dat de CallCppFunction onveilig ontworpen is. Scriptfuncties die opdracht geven om bestanden of applicaties op je systeem aan te roepen horen niet alleen beschermd te zijn met escaping of encoding van wat onbekenden je toesturen. Daar hoort ook beveiliging bij dat de gebruiker hoe dan ook zelf moet beslissen of de functie gebruikt mag worden. Juist omdat applicaties en bestanden extra risico met zich mee brengen en de gebruiker daar controle over hoort te hebben. De gebruiker lijkt nu geen controle te hebben, die is afhankelijk van de ontwikkelaars van Cisco of die verstandig beveiligen. En daar kan je niet vanuit gaan, dat is nu ook weer duidelijk.

[GeoBeo]

Dat is 1 mogelijke zienswijze (gewoon per ongeluk verkeerd ontworpen door Cisco).

Een alternatieve speculatie is dat dit heel bewust zo ontworpen is onder het motto "lekker makkelijke backdoor voor NSA" met "plausible deniability" voor Cisco in de vorm van het excuus "ja, maar dit was gewoon per ongeluk een ontwerp foutje hoor. Heus waar."

Beiden zijn mogelijk en gebeuren waarschijnlijk.

[kodak]

Ik weet niet waarom je graag gaat speculeren over opzet want de gevonden problemen zijn duidelijk niet gemaakt om niet ontdekt te worden en ook een klassieke voorbeelden van gebrek aan kennis over beveiliging door de manier waarop ze gevonden zijn. Als je dit soort toegang gaat gebruiken is er een grote kans dat je ontdekt zal worden omdat het veel sporen na laat. Het voorkomt niet dat de antivirus door heeft dat de applicatie een programma start dat al op je systeem staat, het voorkomt niet dat er in logs sporen ontstaan. Backdoors waar je het over hebt zijn meestal bedoeld om geheim te zijn, niet makkelijk ontdekt te worden en zo min mogelijk risico op te leveren voor wie het gebruikt.

Daarbij is er in de afgelopen 30 jaar heel veel aandacht voor het probleem dat ontwikkelaars te weinig verstand van beveiliging hebben. Dit soort onvoldoende beveiliging is daar een bekend voorbeeld bij. Bedrijven als Cisco hebben daar net zo goed mee te maken. Mogelijk zelfs meer omdat het maken van software die tegelijk ook veilig genoeg is niet perse iets is wat klanten eisen.

[Reactie gewijzigd door kodak op 22 juli 2024 14:50]

[Yordi-]

Off-topic: zou je wat voorbeelden kunnen noemen van dat soort backdoors die zijn ontdekt die geen tot nauwelijks sporen achterlaten? Ik volg security eigenlijk te weinig, maar ik ben erg benieuwd naar de werkwijze.

[Argantonis]

Misschien refereert hij wel naar het feit dat de NSA wel degelijk backdoors in Cisco routers gebruikte, wat bekend is geworden door de Snowden onthullingen. Cisco ontkent zelf ze bewust aan te hebben gebracht maar dat is dubieus op z'n best.

https://www.tomshardware....ounts-software,37480.html

[MeMoRy]

Heb net opgezocht wat een CVSS score is, en aangezien 10 de hoogste is, is 9.9 aanzienlijk! Het lijkt ook een redelijk gemakkelijke exploit als ik de video zo zie: een simple aanpassing van een HTTP POST request message body...

edit:
Als ik de video pauzeer op 0:50, dan zie ik dat de exploit in een HTML img tag zit, in the onanimationstart attribute/event handler.

[Reactie gewijzigd door MeMoRy op 22 juli 2024 14:50]

[Oon]

Sowieso een kwalijke zaak dat HTML uit een bericht zomaar wordt gerendered. Ik snap dat ze de img tag e.d. zelf nodig hebben, maar de attributes (op src en misschien alt na) niet, dus ze zouden heel makkelijk een whitelist kunnen gebruiken voor de attributes

[MeMoRy]

In ieder geval event handlers en scripts afvangen. Ze zullen er wel van geleerd hebben

[Joolee]

Cisco werkt in hun Jabber client met een blacklist om inkomende html berichten te filteren. Bij de vorige kwetsbaarheid waar het bericht over spreekt was er gebruik gemaakt van een ander attribuut om code te injecteren. Cisco heeft whack-a-mole gespeeld, de drie injectiepunten toegevoegd aan de blacklist en als security fix uitgebracht. De onderzoekers hoefden dus alleen een ander punt te vinden, wat ze is gelukt. Vervolgens is er ook nog een JavaScript functie aan te roepen die Cisco gebruikt om ontvangen bestanden te openen om code buiten de sandbox uit te voeren. Een volledige pc overname vanuit een ontvangen bericht in een chat app dus...

Cisco heeft hier als gewoonlijk de bal hard laten vallen.

[Reactie gewijzigd door Joolee op 22 juli 2024 14:50]

[marnixbouhuis]

Dit is toch echt web security 101? Don't trust user input en zeker niet als je die input later ergens in je HTML pagina inlaad (wat de client basically doet). Deze XSS gaat dan nog een stapje verder, hij gebruikt bindings om commands uit te voeren (er is niks mis met bindings maar het is zo wel heel makkelijk om uit de webbrowser sandbox te komen).

[kodak]

Dont trust is zo te merken wel het uitgangspunt geweest. Er was namelijk controle op en zomaar uitvoeren kon niet. Maar de 101 is ook dat je die beveiliging dan ook zo maakt dat je er niet met escapen alsnog gebruik van kan maken. En dat lijken de developers van Cisco anders op te vatten. In plaats van whitelisten op het juiste moment en goed escapen voor verder te gebruiken lijkt het meer op selectief blacklisted van onbetrouwbare input en ook zeer gebrekkig escapen. Ze lijken de 101 niet te snappen. Voor de tweede keer.

[bbc]

Gelijk maar even zitten patchen. Jabber gaat zelf niet kijken of er updates zijn. De toestellen op het werk gebruiken helaas nog een oudere versie, zal het maar even melden.

[DeFeCt]

Wat is überhaupt de reden dat jullie Jabber gebruiken?

[Cavemen]

Cisco telefoons met jabber is een prima combi.

[_Eend_]

Het is alleen zo jammer dat Cisco Jabber alleen op Windows en Mac werkt. Op linux kun je voor alleen chat prima een client als Pidgin gebruiken, maar voor de verbinding met Cisco Finesse kan dat weer niet voor zover ik weet.

[bbc]

Inderdaad, zoals @Cavemen zegt hebben we Cisco IP telefoons.

[DeFeCt]

En toch draait er nog heel wat bij de overheid... ik snap het ook niet.

[RefriedNoodle]

En toch draait er nog heel wat bij de overheid... ik snap het ook niet.

Jabber is te configureren om volledig onpremise te blijven. Goed mogelijk dat dat een voorwaarde is van sommige overheidsdiensten.

[Maxxi]

Exact, dat is de reden. Data blijft intern over eigen servers.

[number3]

Overheden moeten gewoon aanbestedingen doen, conform de regelgeving. Je mag helemaal niet zomaar even MS Teams of Slack gaan gebruiken. Tel daarbij op dat de overheid grotendeels nog on-premise implementaties kent door de beveiligings- en privacy-eisen, verklaart dat waarom de overheid Cisco Webex en Jabber inzet, volledig in de eigen Rijkscloud.

[Maurits van Baerle]

Klopt, ik doe de laatste tijd nogal wat overheidswebinars en daar kom je bijvoorbeeld echt geen Zoom tegen. Allemaal Webex omdat ze ook nogal eens vertrouwelijke zaken te bespreken hebben.

Ik sprak vorig jaar iemand die zei dat toen zij op de ambassade werkte ze een alternatief voor Evenbrite moesten laten ontwikkelen omdat data over de bezoekers op hun events (inclusief email adres) naar een Amerikaans bedrijf sturen uit den boze is.

[DARKLORD]

Ik dus..
Hopeloze software. Maar ik moet het er mee doen helaas. Naast de chat draait het hele telefoon systeem er ook op. Snel over naar Teams aankomend jaar hoop ik! Doei Jabber en Webex!

[_Dune_]

Zo fantastisch is MS Teams ook niet, in de cloud. Kijk naar afgelopen twee weken steeds gedonder, eerst in sharepoint online en vervolgens met Teams, zodat je regelmatig je eigen data niet kom benaderen. Hier op de it afdeling werd al grappend gezegd we de en een 180... back on-prem.

[klakkie.57th]

De Microsoft Telephony functionaliteiten zijn echt nog niet on-par met die van Cisco.
Wij zouden wel overwillen maar dan moet Microsoft toch echt nog wel een serieuze inhaalbeweging doen . Teams is gewoon goed maar het blinkt nergens in uit, het success is dan ook volledig gebasserd op het feit dat het in je O365 subscription inbegrepen is.

[Reactie gewijzigd door klakkie.57th op 22 juli 2024 14:50]

[RefriedNoodle]

Klopt, maar je vergelijkt wel appels met peren. Er zijn ook zeker usecases waarin Jabber de voorkeur heeft.

Maar Cisco heeft zelf ook een alternatief in de vorm van Webex Teams. Jabber en Teams groeien ook steeds meer naar elkaar toe in functionaliteit en layout, dus het zal denk ik ook niet lang meer duren voor Teams Jabber gaat vervangen.

[OruBLMsFrl]

Cisco Webex Teams? Wat een productnaam. Iedereen die je over Teams spreekt zal uitgaan van Microsoft Teams. Dan proberen ze met elkaar te communiceren en blijkt dat ze totaal andere Teams apps hebben.

Heel veel bedrijven hebben al Office365 met Microsoft Teams inbegrepen. Waarom zou je dan nog bij een andere Amerikaanse technologie gigant een Webex gaan inkopen?

[RefriedNoodle]

Wat ben je toch een zeldzame bofkont! Vorige week kreeg ik mail van Cisco dat Webex Teams gaat hernoemen naar Webex.

Beide programma’s hebben hun voors en tegens. Ik gebruik beiden, en beiden hebben features waar ik me aan erger die de ander beter doet. Daarnaast kun je ook nog naar de hardware, infra en interoperability kijken, en niet onbelangrijk, privacy tegen nieuwsgierige agencies.

Groot voordeel wat MS natuurlijk heeft, is dat het in de Office365-licentie zit. Maar als je nagaat dat tóch een hoop bedrijven op Webex zitten en blijven, is het misschien niet zo zwartwit als jij denkt.

[powerboat]

En ook niet elk bedrijf sluit office 365 abonementen. Maar koopt office licenties en schrijven in 5 jaar af wat prijs technisch interessant kan zijn afhankelijk van de usecase.

[tonkie_67]

Heb weinig ervaring met Jabber. Maar als je MS Teams aanprijst boven J houd ik mn hart vast. Hoewel MST ook best wel aardige functionaliteit biedt vind ik het als totaal een gedrocht, zeker zn memory en cpu honger die je hele win10 machine tot stilstand brengt