Cisco heeft een zeer kritieke kwetsbaarheid in Jabber verholpen waardoor een aanvaller willekeurige code op het systeem van gebruikers had kunnen uitvoeren. Alleen het versturen van een speciaal geprepareerd chatbericht naar een doelwit was voldoende. Er was geen interactie van de gebruiker vereist.

Cisco Jabber is een programma dat instant messaging, desktopsharing en audio-, video- en webconferenties biedt. Het is met name bedoeld voor interne communicatie binnen organisaties, maar is ook voor het meetings met personen buiten de organisatie te gebruiken. De kwetsbaarheid in het programma, aangeduid als CVE-2020-26085, wordt op een schaal van 1 tot en met 10 wat betreft de ernst met een 9,9 beoordeeld.

Het probleem ontstaat doordat Jabber de inhoud van berichten niet goed valideert. Door het injecteren van eigen HTML-tags in een chatbericht is cross-site scripting mogelijk die tot remote code execution kan leiden. Het bericht bevat dan een exe-bestand dat vervolgens automatisch door de client van de gebruiker wordt geaccepteerd en uitgevoerd. Volgens onderzoekers van securitybedrijf Watchcom die het probleem vonden kan een worm misbruik van de kwetsbaarheid maken, aangezien er geen interactie van gebruikers is vereist voor de verspreiding ervan.

Oplossing

Onderzoekers van Watchcom rapporteerden eerder dit jaar vier beveiligingslekken in Jabber aan Cisco. De netwerkgigant kwam in september met updates, onder andere voor een lek dat net als CVE-2020-26085 remote code execution mogelijk maakt en ook met een 9,9 werd beoordeeld. Volgens Watchcom werd met deze updates bij drie kwetsbaarheden het onderliggende probleem niet verholpen, maar alleen de "injection points" om van de beveiligingslekken misbruik te maken.

De onderzoekers vonden na het uitkomen van de updates in september nieuwe injection points waardoor Jabber-gebruikers opnieuw risico lopen. Cisco stelt dat de problemen nu met nieuwe patches zijn opgelost, maar Watchcom llat weten dat het die niet heeft gecontroleerd en daarom niet kan garanderen dat ze effectief zijn.