Ciberseguridad

Una vulnerabilidad que se encuentra en el servicio de actualización de la aplicación Cisco Webex Meetings Desktop para Windows puede permitir que un intruso local sin privilegios eleve privilegios y ejecute comandos arbitrarios mediante los privilegios de usuario SYSTEM.

Esta vulnerabilidad afecta a todas las versiones de la aplicación de escritorio de Cisco Webex Meetings entre 33.6.4.15 y 33.8.2.7, con versiones anteriores probablemente afectadas por este problema de seguridad, pero no se han comprobado.

De acuerdo con BleepingComputer, la vulnerabilidad identificada como CVE-2019-1674 es una inyección de comando al sistema operativo encontrada por los investigadores de SecureAuth, que la describen como una "desviación para evitar los nuevos controles" puesta en práctica por Cisco después de corregir un problema de secuestro de DLL encontrado anteriormente en la aplicación y registrada como CVE-2018-15442.

La vulnerabilidad CVE-2019-1674 se debe a la incapacidad del servicio de actualización de la aplicación Cisco Webex Meetings Desktop para validar correctamente los números de versión de nuevos archivos. Por lo tanto, un atacante local sin privilegios puede aprovechar esta vulnerabilidad llamando al comando update service.

Los atacantes pueden ejecutar comandos arbitrarios con privilegios de usuario del sistema

Un atacante potencial puede aprovechar este error de software reemplazando el binario de actualización de Cisco Webex Meetings a través de una "versión vulnerable anterior a través de una actualización falsa (el servicio utiliza un XML para comprobar qué archivos se pueden instalar) que cargará un DLL malintencionado". escalamiento de privilegios y permitiendo que el actor ejecute comandos arbitrarios con privilegios de usuario del sistema.

Según lo detallado por el equipo de investigación de SecureAuth:

La vulnerabilidad se puede explorar copiando a una carpeta del controlador del atacante local, el binario atgpcdec.dll y renombrarlo como atgpcdec.7z. A continuación, una versión anterior del archivo ptUpdate.exe se debe empaquetar como 7z y se copia en la carpeta del controlador. Además, un dll malintencionado se debe colocar en la misma carpeta, denominada vcruntime140.dll y comprimida como vcruntime140.7z. Por último, un archivo ptUpdate.xml debe proporcionarse en la carpeta del controlador para el binario de actualización (ptUpdate.exe) para tratar como una actualización normal. Para obtener privilegios, el atacante debe iniciar el servicio con la línea de comandos: sc start webexservice WebexService 1 989898 "ruta controlada por el atacante"

Los investigadores de SecureAuth también proporcionan un ataque de prueba de dos etapas con vistas a las versiones 33.8.X de la aplicación para eludir la función de verificación de firma y un único paso de ataque de PoC para explorar todas las versiones de la aplicación de Cisco WebEx Meetings de escritorio para Windows antes de 33.8.X.

Aunque la vulnerabilidad de CVE-2019-1674 se puede explotar localmente, "los administradores deben ser conscientes de que en las implementaciones de Active Directory, la vulnerabilidad se puede explotar remotamente aprovechando las herramientas de administración remota del sistema operativo".

Esta no es la primera vez que los investigadores de seguridad descubrieron vulnerabilidades en el software de reuniones de vídeo WebEx de Cisco, pero el descubrimiento de Ron Bowes y Jeff McJunkin del Counter Hack el 24 de octubre de 2018 realmente se destaca.

Debido a que la vulnerabilidad conocida como WebExec permite a los usuarios ejecutar comandos de forma remota a través de un componente de una versión vulnerable del cliente WebEx, incluso cuando WebEx no escucha conexiones remotas.