[PATCH][CISCO] Prise de contrôle du système via une vulnérabilité au sein du plugin Cisco WebEx

Le CERT-XMCO vous partage une information ayant fait l’actualité durant la semaine écoulée. Nous vous proposons de revenir sur la publication d’une vulnérabilité au sein du plugin Chrome de Cisco WebEx et de son code d’exploitation.

Description :

Une preuve de concept, exploitant la vulnérabilité présentée dans le bulletin CXA-2017-0235, a été publiée. La vulnérabilité en question, référencée CVE-2017-3823, affectait l’extension Chrome : Cisco WebEx.

La faille de sécurité provenait d’un défaut de conception permettant la modification du composant applicatif appelé par l’extension sur le système sous-jacent. En effet lors de l’utilisation d’une URL spécifique (« cwcsf-nativemsg-iframe-43c85c0d-d633-af5e-c056-32dc7efc570b.html ») il était possible de définir au sein du paramètre « GpcComponentName » le composant applicatif ainsi que la méthode à exécuter au travers du paramètre « GpcInitCall ».
En exploitant ces informations et en incitant sa victime à visiter une page spécifique, un attaquant était ainsi en mesure d’exécuter du code arbitraire sur son système.

Un code d’exploitation a également été publié. Celui-ci se présente sous la forme d’un code en ruby intégré au framework Metasploit. Ce code permet la mise à disposition d’une page spécifiquement conçue pour provoquer l’exécution d’un shell « meterpreter » afin de prendre le contrôle le système de la victime.

Vulnérables :

• Cisco WebEx Chrome extension < 1.0.8

Recommandation :

Le CERT-XMCO recommande l’utilisation de la nouvelle version de l’extension, dont la mise à jour est assurée automatiquement par le navigateur.

Référence :

• https://bugs.chromium.org/p/project-zero/issues/detail?id=1096
• https://github.com/rapid7/metasploit-framework/commit/38ea62f311ec2009dd94a0a1e20a8ece061af2fd

Référence CERT-XMCO :
CXA-2017-0319, CXA-2017-0235