1 bug de Webex permet des exécutions de code à distance

Cisco a patché deux failles de sécurité importantes la semaine dernière dans les produits Webex et IOS XE.

La faille de Webex se trouve dans l’interface web de gestion de Cisco Webex Video Mesh, une fonctionnalité qui permet une infrastructure locale pour les conférences vidéos et qui améliore l’audio, la vidéo et le contenu.

“Un exploit réussi permet à un hacker d’exécuter des commandes arbitraires sur le système d’exploitation Linux avec des privilèges root sur un nœud ciblé,” selon le rapport de sécurité de Cisco sorti la semaine dernière.

Pour que les hackers puissent exploiter les failles à distance, ils doivent s’authentifier, selon le rapport. Cela veut dire qu’ils devront se connecter à l’interface web de gestion avec des permissions administratives et ensuite soumettre des requêtes spéciales à l’application. L’interface Webex ne traite pas ces requêtes comme il le faut et cela permet aux hackers d’exécuter des commandes arbitraires.

webex

La vulnérabilité affecte les versions de Cisco Webex Video Mesh antérieures à 2019.09.19.1956m (la version patchée). Cette faille de sécurité de Webex a été découverte durant un test de sécurité interne et a un score CVSS de 7,2/10. Cisco affirme ne pas avoir observé d’exploitation active de cette faille par des acteurs externes.

La faille de Webex n’est pas la seule

Le géant du réseau a aussi distribué d’autres patchs pour un autre bug important se trouvant dans l’interface d’utilisateur web de Cisco IOS et Cisco IOS XE. IOS XE, une version Linux de l’Internetworking Operating System (IOS) de Cisco, est un logiciel utilisé par les routeurs et les switchs Cisco. Les produits supportés par IOS XE incluent les switchs d’entreprise (y compris la série Catalyst de Cisco), les routeurs de branche et les routeurs de bord comme l’ASR 1013.

cisco webex

La vulnérabilité permet à un hacker non-authentifié à distance de lancer une attaque Cross-Site Request Forgery (CSRF) sur les systèmes affectés. Les attaques CSRF, typiquement lancé via e-mails qui utilisent l’ingénierie sociale, poussent les victimes à cliquer sur des liens spéciaux qui envoient ensuite une requête au serveur.

La faille est causée par des protections CSRF insuffisantes pour l’interface utilisateur web sur un appareil affecté, selon Cisco. Un hacker peut exploiter la faille en persuadant un utilisateur de cliquer sur un lien malveillant.

“Un exploit réussi permet au hacker d’effectuer des actions arbitraires avec le même niveau de privilèges que l’utilisateur ciblé,” selon le rapport de Cisco. “Si l’utilisateur a des privilèges administratifs, le hacker peut changer la configuration, exécuter des commandes ou recharger un appareil affecté.”

La faille, découverte par Mehmet Önder Key, affecte les appareils Cisco qui utilisent une version vulnérable de Cisco IOS ou Cisco IOS XE antérieure à 16.1.1 avec la fonctionnalité Serveur HTTP. Cisco a déclaré qu’ils n’avaient pas observé d’exploitation active de cette faille qui a une note CVSS de 8,8 sur 10.

Un début d’année mouvementé pour Cisco

La semaine dernière, Cisco avait déjà distribué 14 patchs de sécurité pour divers produits.

Récemment, Cisco avait patché 3 failles critiques qui affectaient un outil important qui gérait sa plateforme réseau et ses switchs. Ces bugs permettaient à un individu non-authentifié à distance de contourner l’authentification et d’exécuter des actions arbitraires avec des privilèges administratifs sur les appareils ciblés.

S’abonner
Notifier de
guest
0 Commentaires
Inline Feedbacks
View all comments
0
Would love your thoughts, please comment.x
()
x