Sicherheitsupdates: Cisco Jabber könnte Schadcode-Nachrichten durchlassen

Der Messenger Cisco Jabber ist in verschiedenen Versionen angreifbar. Eine Lücke gilt als kritisch.

Wer Cisco Jabber zur Kommunikation unter Android, iOS, macOS oder Windows nutzt, sollte die Anwendung aktualisieren. Ansonsten könnten Angreifer an mehreren Schwachstellen ansetzen und unter anderem Schadcode ausführen.

Insgesamt hat Cisco in den aktuellen Jabber-Versionen fünf Sicherheitslücken geschlossen. Eine Schwachstelle (CVE-2020-26085) gilt als "kritisch". Aufgrund von fehlenden Überprüfungen könnten Angreifer präparierte XMPP-Nachrichten verschicken. Das führt beim Empfänger zu Störungen, sodass Angreifer Schadcode mit den Rechten des Opfers ausführen könnten.

In einer Warnmeldung listet Cisco neben den verwundbaren Versionen auch die gegen diese Attacken abgesicherten Ausgaben auf.

Quelle: Sicherheitsupdates: Cisco Jabber könnte Schadcode-Nachrichten durchlassen | heise online

Cisco fixt Remote-Lücken in Jabber-Clients für Windows, macOS & mobile Systeme

Ein Update schließt teils als kritisch eingestufte Einfallstore in Ciscos Jabber-Client für Win, macOS, Android & iOS. Auch weitere Produkte erhielten Updates.

Netzwerkausrüster Cisco hat mehrere Sicherheitslücken aus seinen Produkten beseitigt – darunter auch eine kritische Lücke, die mehrere Versionen der Desktop- und mobilen Varianten von Cisco Jabber (Client-Software) betrifft. Entfernte Angreifer mit geringen Zugriffsrechten hätten sie missbrauchen können, um auf dem jeweiligen System beliebige Programme mit den Rechten des dort verwendeten Jabber-Accounts auszuführen. Die kritische Lücke steckt in Ciscos Jabber-Client für Windows – allerdings sind auch die Ausgaben für macOS, Android und iOS von (ebenfalls gefixten) Sicherheitslücken betroffen.

Updates stehen für Cisco Jabber ebenso bereit wie für eine Reihe weiterer Cisco-Produkte, die von Schwachstellen mit Schweregraden von "Medium" bis "High" betroffen sind. Die auf 18 frisch veröffentlichte Security Advisories verteilten "High"-Lücken betreffen unter anderem diverse IOX XE-Software-Versionen (und damit Geräte, auf denen sie läuft) sowie Access Point-Software unter anderem für Geräte aus den Aironet- und Catalyst-Serien.

Details sind den am gestrigen Mittwoch veröffentlichten Advisories zu entnehmen:

• Übersicht über aktuelle "High"-Lücken in Cisco-Produkten
  
• Übersicht über aktuelle "Medium"-Lücken in Cisco-Produkten

Details zu den Jabber-Lücken
Der kritischen Sicherheitslücke in Cisco Jabber für Windows wurde die ID CVE-2021-1411 sowie ein CVSS-Score von 9.9 (von möglichen 10) zugewiesen. Sie basiert auf fehlerhaften Validierungsmechanismen von Nachrichteninhalten und ist von Angreifern ausnutzbar, indem diese speziell präparierte XMPP-Nachrichten an die verwundbare Client-Software schicken.

Vier weitere, ebenfalls beseitigte Jabber-Sicherheitsprobleme mit "Medium"- und "High"-Einstufungen hätten (ebenfalls aus der Ferne und teils auch ohne Authentifizierung) missbraucht werden können, um auf sensible Informationen zuzugreifen, Netzwerktraffic abzufangen oder einen Denial-of-Service-Zustand zu provozieren. Über zwei von ihnen sind auch macOS, Android und iOS angreifbar.



Ciscos Security Advisory zu den Jabber-Lücken nennt weitere Details und schlüsselt auf, welche Cisco Jabber-Ausgaben von welchen Lücken betroffen sind. Unabhängig davon ist es in jedem Falle ratsam, so bald wie möglich auf die jeweils angegebenen abgesicherten Versionen umzusteigen.

Quelle: Cisco fixt Remote-Lücken in Jabber-Clients für Windows, macOS & mobile Systeme | heise online