سمح عيب أمان النظام الأساسي لعقد مؤتمرات الفيديو من Cisco Webex للمستخدمين غير المصرح لهم بالانضمام إلى اجتماعات خاصة عبر الإنترنت

أخبار
الأمان / سمح عيب أمان النظام الأساسي لعقد مؤتمرات الفيديو من Cisco Webex للمستخدمين غير المصرح لهم بالانضمام إلى اجتماعات خاصة عبر الإنترنت 2 دقيقة للقراءة

سيسكو



سمح عيب أمني داخل منصة Webex Video Conferencing الشهيرة للمستخدمين غير المصرح لهم أو غير المصدقين بالانضمام إلى اجتماعات خاصة عبر الإنترنت. تم تصحيح مثل هذا التهديد الخطير للخصوصية والبوابة إلى محاولات تجسس ناجحة من قبل الشركة الأم Webex ، Cisco Systems.

ثغرة أخرى اكتشفتها Cisco Systems وأصلحتها لاحقًا سمحت لأي شخص غريب غير مصرح له بالتسلل داخل الاجتماعات الافتراضية والخاصة ، حتى تلك المحمية بكلمة مرور والتنصت. المكونات الوحيدة اللازمة لإنهاء الاختراق أو الهجوم بنجاح هي معرف الاجتماع وتطبيق Webex للهاتف المحمول.



تكتشف أنظمة Cisco الثغرات الأمنية في مؤتمرات الفيديو عبر Webex بمعدل خطورة 7.5:

أشارت Cisco إلى أنه يمكن استغلال الثغرة الأمنية داخل Webex بواسطة مهاجم عن بُعد دون الحاجة إلى أي نوع من المصادقة. سيحتاج المهاجم فقط إلى معرف الاجتماع وتطبيق Webex للجوال. ومن المثير للاهتمام ، أنه يمكن استخدام كل من تطبيقات iOS و Android للهواتف المحمولة لـ Webex لشن الهجوم ، كما أبلغت Cisco في ملف الجمعة الاستشارية و



'يمكن للحضور غير المصرح به استغلال هذه الثغرة الأمنية من خلال الوصول إلى معرف اجتماع معروف أو عنوان URL للاجتماع من متصفح الويب لجهاز الجوال. سيطلب المتصفح بعد ذلك تشغيل تطبيق Webex للجوال الخاص بالجهاز. بعد ذلك ، يمكن للمتطفل الوصول إلى الاجتماع المحدد عبر تطبيق Webex للجوال ، دون الحاجة إلى كلمة مرور. '



اكتشفت سيسكو السبب الجذري للعيب. 'ترجع الثغرة الأمنية إلى عرض معلومات الاجتماع غير المقصود في اجتماع معين تدفق الانضمام لتطبيقات الهاتف المحمول. يمكن للحضور غير المصرح به استغلال هذه الثغرة الأمنية من خلال الوصول إلى معرف اجتماع معروف أو عنوان URL للاجتماع من متصفح الويب الخاص بجهاز الجوال. '



الجانب الوحيد الذي كان من شأنه أن يكشف عن المتنصت هو قائمة الحاضرين في الاجتماع الافتراضي. سيكون الحضور غير المصرح لهم مرئيًا في قائمة حضور الاجتماع كحضور متنقل. بعبارة أخرى ، يمكن الكشف عن وجود جميع الأشخاص ، ولكن المسؤول عن حساب القائمة مقابل الموظفين المصرح لهم لتحديد الأشخاص غير المصرح لهم. إذا لم يتم اكتشافه ، يمكن للمهاجم بسهولة التنصت على تفاصيل اجتماعات العمل التي يحتمل أن تكون سرية أو حساسة ، حسبما ورد التهديد .

فريق الاستجابة لحوادث أمان منتج Cisco يصحح ثغرة أمنية في Webex:

اكتشفت Cisco Systems مؤخرًا ثغرة أمنية وأصلحتها مع درجة CVSS 7.5 من 10. بالمناسبة ، تم تتبع الثغرة الأمنية رسميًا كـ CVE-2020-3142 ، خلال تحقيق داخلي وحل لحالة دعم Cisco TAC أخرى. أضافت Cisco أنه لا توجد تقارير مؤكدة حول الكشف عن الخلل أو استغلاله ، 'فريق الاستجابة لحوادث أمان منتجات Cisco (PSIRT) ليس على علم بأي إعلانات عامة عن الثغرة الأمنية الموضحة في هذا الإرشاد.'

كانت منصات مؤتمرات الفيديو Cisco Systems Webex المعرضة للخطر هي مواقع Cisco Webex Meetings Suite ومواقع Cisco Webex Meetings Online للإصدارات الأقدم من 39.11.5 (للأولى) و 40.1.3 (للأخيرة). قامت Cisco بإصلاح الثغرة الأمنية في الإصدارات 39.11.5 والإصدارات الأحدث ، وتم تصحيح مواقع Cisco Webex Meetings Suite ومواقع Cisco Webex Meetings Online الإصدار 40.1.3 والإصدارات الأحدث.

العلامات سيسكو