热门在线视频会议软件Webex，被曝存在命令注入漏洞

两名安全研究人员于近日发布消息称，思科的WebEx在线视频会议软件受到一个严重漏洞的影响，该漏洞可以被利用来提供权限并执行任意命令。

什么是WebEx？

WebEx作为一个远程、实时的网络会议平台，是网络视频会议的开路先锋，为客户提供专业网络视频会议解决方案。

目前在全世界拥有200万用户，每日有超过3万个会议通过WebEx召开，每月会议时间超过30亿分钟，与会者超过5200万，并且每年以38%的增长速率增长，目前财富100强公司中93%和财富500强公司中78%的公司都部署了WebEx视频协作解决方案。

漏洞详情

这个安全漏洞由来自Counter Hack的Ron Bowes和Jeff McJunkin发现，并被命名为“WebExec”。该漏洞被追踪为CVE-2018-15442，在今年8月初通报给了思科，修复补丁在两个月内发布。

“WebExec” 是一个存在于思科WebEx客户端软件中的一个漏洞。在安装WebEx客户端时，一个名为“WebExService”的Windows服务也同时会被安装，而该服务能够以SYSTEM账户权限执行任意命令。

由于不恰当的访问控制列表（Access Control List，ACL），任何本地或域用户都可以通过窗口的远程服务接口启动进程（Windows 10除外，它需要管理员登录）。

影响范围

受该漏洞影响的WebEx软件包括Cisco Webex Meetings Desktop App 33.5.6之前的所有版本，以及Cisco Webex Productivity Tools 32.6.0到33.0.5之间的所有版本。

目前，该漏洞已经在Cisco Webex Meetings Desktop App 33.5.6和33.6.0，以及Cisco Webex Productivity Tools 33.0.5及更高版本中得到修复。额外需要提一下的是，自Cisco Webex Meetings 33.2.0发布以来，Cisco Webex Productivity Tools已经被Cisco Webex Meetings Desktop App所取代。

如何修复？

• 用户升级，可以通过启动Cisco Webex会议应用程序并单击应用程序窗口右上角的“设置”，然后从下拉列表中选择“检查更新”来进行更新。

• 管理员可以使用文章IT管理员指南（适用于Cisco Webex会议桌面应用程序的大规模部署）更新其整个用户库。

更新的客户端会在执行之前验证正在运行的可执行文件是否由WebEx签名，虽然此举可修复此漏洞，但可能会造成更多问题。 因此，如果可能的话，我们强烈建议大家在WebEx上运行此命令：

c:\> sc sdset webexservice D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPLORC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

在WebExService的默认配置下，即使打了补丁，任何拥有帐户的用户都可以启动该服务。 即使在打补丁之后，这也是非常危险的。 上面显示的命令会删除该权限，因此可以由任何本地用户（交互式会话或RDP）或任何管理用户启动。

此外，Ron Bowes和Jeff McJunkin还提供了基于Nmap（Linux下的网络扫描和嗅探工具包）和Metasploit（一款开源的安全漏洞检测工具）的概念验证（PoC）代码，可用于利用该漏洞。另外，他们也提供了一个漏洞检查工具（一个Nmap脚本），可供我们检查自己的系统是否受该漏洞影响。

地址：https://webexec.org/

参考来源：黑客视界

往期热门资讯：

公众号ID：ikanxue
官方微博：看雪安全

商务合作：[e-mail]