Alertas de seguridad

Vulnerabilidades en Webex Meetings

WebEx es una compañía filial de Cisco que ofrece servicios de videoconferencia con múltiples funciones para el establecimiento de reuniones virtuales e intercambio de mensajes desde diferentes lugares del mundo.
 
 
Recientemente el equipo de respuesta ante incidentes de seguridad de Cisco (PSIRT), publicó la vulnerabilidad CVE-2020-3263 que impacta la aplicación de escritorio de Cisco Webex Meetings, puntualmente versiones anteriores a 39.5.12. Este fallo de seguridad es causado por la validación incorrecta de la URL de entrada. Un atacante puede engañar a un usuario legítimo para que acceda a la URL maliciosa, ocasionando la ejecución no autorizada de programas y archivos maliciosos sobre el sistema operativo que emplea la versión vulnerable de Cisco WebEx.

 
Acciones recomendadas
 
  • Actualmente no hay soluciones alternativas que aborden esta vulnerabilidad y a pesar de que son muy pocas las detecciones de explotación para esta vulnerabilidad, se recomienda mantener actualizados todos los productos de Cisco WebEx Meetings.
  • Cisco corrigió esta vulnerabilidad en las versiones de la aplicación de escritorio Cisco Webex Meetings 40.1.0 y posteriores. Para las versiones de bloqueo de la aplicación de escritorio Cisco Webex Meetings, Cisco corrigió esta vulnerabilidad en las versiones 39.5.12 y posteriores.

   Vulnerabilidad de ejecución del código de función de actualización de la
aplicación de escritorio Cisco Webex Meetings para Mac


Otra vulnerabilidad detectada por el equipo de respuesta ante incidentes de seguridad de Cisco fue el CVE-2020-3342, el cual impacta la función de actualización de software de la aplicación de escritorio Cisco Webex Meetings para Mac; esto permitiría que un atacante remoto no autenticado ejecute código arbitrario en un sistema afectado.

La vulnerabilidad se debe a la validación incorrecta de los controles criptográficos en los archivos que la aplicación descarga como parte de la actualización del software. Un atacante podría aprovechar esta vulnerabilidad engañando a un usuario para que acceda a un sitio web malintencionado que devuelva archivos similares a los archivos legítimos del sitio web válido de Webex. La aplicación cliente no valida adecuadamente las protecciones criptográficas de los archivos proporcionados antes de ejecutarlos como parte de la actualización. La explotación exitosa permite al atacante ejecutar código arbitrario en el sistema afectado con los privilegios del usuario.

Acciones recomendadas

  • Cisco ha lanzado actualizaciones de software que abordan esta vulnerabilidad. No hay soluciones alternativas que aborden esta vulnerabilidad. Por lo tanto, se recomienda mantener actualizados todos los productos de Cisco WebEx Meetings.
  • Esta vulnerabilidad afecta a las versiones de bloqueo de la aplicación de escritorio Cisco Webex Meetings para Mac, anteriores a la versión 39.5.11.