Phát hiện ra lỗ hổng đặc biệt nguy hiểm trong phần mềm hội nghị trực tuyến Cisco Jabber

Hãng sản xuất thiết bị mạng Cisco vừa tung ra một phiên bản mới của ứng dụng nhắn tin và hội nghị trực tuyến Jabber cho Windows 10. Phiên bản mới này bao gồm các bản vá cho nhiều lỗ hổng mà nếu bị khai thác có thể cho phép tin tặc tấn công, cài đặt và chạy phần mềm tùy ý trên máy của nạn nhân.

Các lỗ hổng được phát hiện bởi công ty an ninh mạng Watchcom của Na Uy, ảnh hưởng tới mọi phiên bản đang hoạt động của Cisco Jabber. Và hiện tại, chúng đã được vá bởi Cisco.

Hai trong số bốn lỗ hổng có thể bị khai thác để cài đặt và chạy phần mềm tùy ý trên máy của nạn nhân bằng cách gửi các tin nhắn được thiết kế theo cách đặc biệt cho các cuộc trò chuyện nhóm hoặc cá nhân.

Nghiêm trọng nhất trong số này là lỗ hổng được đặt tên mã CVE-2020-3495, xếp hạng mức độ nguy hiểm CVSS 9,9. Lỗ hổng này dẫn tới việc xác nhận nội dung tin nhắn không đúng cách nên hacker có thể lợi dụng để gửi các tin nhắn thiết kế theo kiểu giao thức Extensible Messaging and Presence Protocol (XMPP).

"Khi khai thác thành công, hacker có thể khiến ứng dụng khởi chạy các chương trình tùy ý trên hệ thống của nạn nhân với đặc quyền của tài khoản người dùng đang chạy Cisco Jabber. Từ đó, hacker có thể chạy bất kỳ mã code hay phần mềm nào", Cisco tiết lộ.

Chỉ ít ngày trước, Cisco đã phải lên tiếng cảnh báo về một lỗ hổng zero-day đang bị hacker tích cực khai thác trong phần mềm của router IOS XR.

Cisco khuyến cáo người dùng nên cập nhật phiên bản mới nhất của phần mềm Jabber ngay lập tức.

• Cissco vá lỗ hổng nghiêm trọng trong phần mềm tưởng lửa ASA/FTD