Een kritieke kwetsbaarheid in Cisco Jabber voor Windows maakt remote code execution mogelijk, waardoor aanvallers in het ergste geval volledige controle over het systeem van het slachtoffer kunnen krijgen. Alleen het versturen van een een speciaal geprepareerd bericht is voldoende. Er is geen interactie van het slachtoffer vereist, behalve dat hij Cisco Jabber in de achtergrond heeft draaien.

Cisco Jabber is een programma dat instant messaging, desktopsharing en audio-, video- en webconferenties biedt. Het is met name bedoeld voor interne communicatie binnen organisaties, maar is ook voor het meetings met personen buiten de organisatie te gebruiken. Onderzoekers van securitybedrijf Watchcom ontdekten via kwetsbaarheden in de software. Eén daarvan, CVE-2020-3495, maakt het mogelijk voor een aanvaller om op afstand systemen met een kwetsbare Jabber-versie over te nemen. De kwetsbaarheid is op een schaal van 1 tot en met 10 wat betreft de impact met een 9,9 beoordeeld.

Het probleem wordt veroorzaakt doordat Cisco Jabber de inhoud van inkomende HTML-berichten niet goed valideert. Door het versturen van een speciaal geprepareerd bericht kan een aanvaller een kwaadaardig exe-bestand naar de gebruiker sturen en dat vervolgens uitvoeren. Ook is het mogelijk om commando's met de rechten van de ingelogde gebruiker uit te voeren.

Cisco heeft beveiligingsupdates uitgebracht. De kwetsbaarheid, die volgens de onderzoekers ook door een worm misbruikt kan worden, is niet aanwezig in Cisco Jabber voor MacOS of Cisco Jabber voor mobile platforms. In onderstaande video wordt het beveiligingslek gedemonstreerd.