TLP: Amber
NIVEL DE RIESGO CVSS v3.0 – 9.9 [Crítico]
Acción Requerida: Aplicar las actualizaciones liberadas por Cisco a los productos afectados.
Vector de ataque: Remoto.
Impacto: Ejecución de código arbitrario en el dispositivo afectado.

Descripción

El pasado 02 de septiembre del año en curso, Cisco publicó actualizaciones de seguridad para corregir una vulnerabilidad presente en la versión de Jabber para Windows, aplicación que brinda a los usuarios servicios de mensajería instantánea, en la nube, uso compartido de escritorio y videoconferencias.

El identificador asignado a esta falla es CVE-2020-3495 (CVSS v3.0 9.9 [Crítico]), y es causada por una validación incorrecta del contenido de los mensajes de entrada y podría permitir a un atacante ejecutar código de manera arbitraria en el dispositivo afectado, con privilegios de la cuenta de usuario que ejecuta el cliente Cisco Jabber.

Un usuario malicioso puede enviar un mensaje especialmente diseñado y aprovechar el fallo presente en el protocolo XMPP (Extensible Messaging and Presence Protocol), sin embargo, Cisco asegura que para aprovechar la vulnerabilidad con éxito es necesario que los atacantes tengan acceso a los dominios XMPP.

Además, Cisco afirma que los clientes que utilizan Cisco Jabber solo en modo de teléfono, es decir, sin los servicios XMPP habilitados no son vulnerables a esta falla.

Nivel de riesgo

  • CVSS v3.0: 9.9 [Crítico]

Sistemas/tecnologías afectadas:

  • Cisco Jabber para Windows

Medidas de Erradicación

A continuación se listan las versiones publicadas por Cisco para corregir la vulnerabilidad reportada en esta alerta:

  • Cisco Jabber 12.1.3 para Windows
  • Cisco Jabber 12.5.2 para Windows
  • Cisco Jabber 12.6.3 para Windows
  • Cisco Jabber 12.7.2 para Windows
  • Cisco Jabber 12.8.3 para Windows
  • Cisco Jabber 12.9.1 para Windows

Referencias