CERTFR-2017-ALE-001
Vulnerability from certfr_alerte

Une vulnérabilité a été découverte dans Cisco WebEx. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.

Solution

La vulnérabilité CVE-2017-3823 peut être exploitée lorsqu'un utilisateur se rend sur un site qui contient un motif particulier dans l'URL.
Comme ce motif peut être contenu dans une iframe qu'il est trivial de cacher, l'exploitation à l'insu de l'utilisateur est tout à fait possible.

Cisco annonce que seuls les systèmes Windows sont impactés par cette vulnérabilité.
Le greffon Cisco WebEx pour Edge sur Windows 10 n'est pas vulnérable.
Un correctif est disponible pour le greffon Cisco WebEx pour Chrome dans la version 1.0.5. Si celui-ci ne comble pas complètement la vulnérabilité, il en limite l'impact. En effet, si le motif particulier se trouve dans une URL associée à des domaines autres que *.webex.com ou *.webex.com.cn, l'utilisateur doit accepter explicitement l'exécution de code. Cependant, cela ne protège pas l'utilisateur si les sites susnommés sont vulnérables à des failles de type injection de code indirecte à distance (XSS).

Dans l'attente de correctifs de sécurité, le CERT-FR recommande la désinstallation du greffon Cisco Webex sur les systèmes vulnérables.
Lorsque cela n'est pas possible, le CERT-FR recommande a minima l'utilisation du greffon Cisco Webex par le biais d'un navigateur Chrome à jour.

Depuis le 31 janvier 2017, Cisco a publié un correctif de sécurité résolvant la vulnérabilité.

le greffon Cisco WebEx pour Chrome Firefox et Internet Explorer sur Windows

Impacted products
Vendor Product Description
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cP\u003ele greffon Cisco WebEx pour Chrome Firefox et Internet  Explorer sur Windows\u003c/P\u003e",
  "closed_at": "2017-01-31",
  "content": "## Solution\n\nLa vuln\u00e9rabilit\u00e9 CVE-2017-3823 peut \u00eatre exploit\u00e9e lorsqu\u0027un utilisateur\nse rend sur un site qui contient un motif particulier dans l\u0027URL.  \nComme ce motif peut \u00eatre contenu dans une iframe qu\u0027il est trivial de\ncacher, l\u0027exploitation \u00e0 l\u0027insu de l\u0027utilisateur est tout \u00e0 fait\npossible.  \n\nCisco annonce que seuls les syst\u00e8mes Windows sont impact\u00e9s par cette\nvuln\u00e9rabilit\u00e9.  \nLe greffon Cisco WebEx pour Edge sur Windows 10 n\u0027est pas vuln\u00e9rable.  \nUn correctif est disponible pour le greffon Cisco WebEx pour Chrome dans\nla version 1.0.5. Si celui-ci ne comble pas compl\u00e8tement la\nvuln\u00e9rabilit\u00e9, il en limite l\u0027impact. En effet, si le motif particulier\nse trouve dans une URL associ\u00e9e \u00e0 des domaines autres que \\*.webex.com\nou \\*.webex.com.cn, l\u0027utilisateur doit accepter explicitement\nl\u0027ex\u00e9cution de code. Cependant, cela ne prot\u00e8ge pas l\u0027utilisateur si les\nsites susnomm\u00e9s sont vuln\u00e9rables \u00e0 des failles de type injection de code\nindirecte \u00e0 distance (XSS).  \n\nDans l\u0027attente de correctifs de s\u00e9curit\u00e9, le CERT-FR recommande la\nd\u00e9sinstallation du greffon Cisco Webex sur les syst\u00e8mes vuln\u00e9rables.  \nLorsque cela n\u0027est pas possible, le CERT-FR recommande a minima\nl\u0027utilisation du greffon Cisco Webex par le biais d\u0027un navigateur Chrome\n\u00e0 jour.\n\nDepuis le 31 janvier 2017, Cisco a publi\u00e9 un correctif de s\u00e9curit\u00e9\nr\u00e9solvant la vuln\u00e9rabilit\u00e9.\n",
  "cves": [
    {
      "name": "CVE-2017-3823",
      "url": "https://www.cve.org/CVERecord?id=CVE-2017-3823"
    }
  ],
  "initial_release_date": "2017-01-25T00:00:00",
  "last_revision_date": "2017-01-31T00:00:00",
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Cisco cisco-sa-20170124-webex du 24    janvier 2017",
      "url": "https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170124-webex"
    },
    {
      "title": "Avis CERT-FR CERTFR-2017-AVI-036 Cisco WebEx Browser    Extension",
      "url": "http://www.cert.ssi.gouv.fr/site/CERTFR-2017-AVI-036/index.html"
    },
    {
      "title": "Google Project Zero",
      "url": "https://bugs.chromium.org/p/project-zero/issues/detail?id=1096"
    }
  ],
  "reference": "CERTFR-2017-ALE-001",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2017-01-25T00:00:00.000000"
    },
    {
      "description": "cl\u00f4ture de l\u0027alerte.",
      "revision_date": "2017-01-31T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte dans \u003cspan class=\"textit\"\u003eCisco\nWebEx\u003c/span\u003e. Elle permet \u00e0 un attaquant de provoquer une ex\u00e9cution de\ncode arbitraire \u00e0 distance.\n",
  "title": "Vuln\u00e9rabilit\u00e9 dans Cisco WebEx",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Cisco cisco-sa-20170124-webex du 24 janvier 2017",
      "url": null
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.