Ministero dello Sviluppo Economico

CERT Nazionale Italia - Computer Emergency Response Team

Vulnerabilità

Vulnerabilità in Cisco WebEx Network Recording Player

cisco  remote code execution  WebEx   giovedì, 20 settembre 2018

Cisco ha rilasciato un bollettino di sicurezza relativo a vulnerabilità multiple di gravità elevata (CVE-2018-15414, CVE-2018-15421, CVE-2018-15422) in applicazioni Cisco WebEx Network Recording Player per file nel formato Advanced Recording Format (ARF).

Le vulnerabilità sono legate ad un’errata validazione di file di registrazioni WebEx. Un attaccante potrebbe sfruttare queste vulnerabilità facendo in modo che l’utente di un player affetto apra un file ARF appositamente predisposto inviato via Email o scaricato da un URL malevolo. Se sfruttate con successo, queste vulnerabilità possono consentire all’attaccante di eseguire codice arbitrario sul sistema sottostante.

Risultano affetti da queste vulnerabilità i player ARF inclusi nelle seguenti versioni dei prodotti Cisco Webex Meetings Suite, Cisco Webex Meetings Online e Cisco Webex Meetings Server:

  • Cisco Webex Meetings Suite (WBS32) – Webex Network Recording Player versioni precedenti alla WBS32.15.10
  • Cisco Webex Meetings Suite (WBS33) – Webex Network Recording Player versioni precedenti alla WBS33.3
  • Cisco Webex Meetings Online – Webex Network Recording Player versioni precedenti alla 1.3.37
  • Cisco Webex Meetings Server – Webex Network Recording Player versioni precedenti alla 3.0MR2

Al momento non ci sono notizie che queste vulnerabilità siano state sfruttate in attacchi reali. Non sono disponibili soluzioni alternative per mitigare questa vulnerabilità.

Per maggiori dettagli su queste vulnerabilità, sui prodotti affetti e sugli aggiornamenti disponibili, si raccomanda agli utenti e agli amministratori di prodotti Cisco WebEx di consultare il seguente bollettino di sicurezza (in Inglese):

Notizie correlate

Vulnerabilità multiple in PHP

10 dicembre 2018

Sono state scoperte diverse vulnerabilità in PHP 5 e 7 che potrebbero consentire ad un attaccante remoto di eseguire codice arbitrario nel contesto dell’applicazione affetta o di causare condizioni di denial of service.Leggi tutto

Adobe risolve vulnerabilità critica 0-day in Adobe Flash Player

6 dicembre 2018

Adobe ha rilasciato un aggiornamento di sicurezza che risolve una vulnerabilità critica zero-day in Flash Player e una vulnerabilità di gravità elevata nell'installer di Flash Player.Leggi tutto

Aggiornamento di sicurezza Android (dicembre 2018)

4 dicembre 2018

Google ha rilasciato l'aggiornamento di sicurezza di dicembre che risolve svariate vulnerabilità nel sistema operativo Android, le più gravi delle quali potrebbero consentire l'esecuzione di codice da remoto sul dispositivo.Leggi tutto