TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Tavis Ormandy จาก Google Project Zero และ Cris Neckar จาก Divergent Security ออกมาเปิดเผยถึงช่องโหว่ความรุนแรงระดับ Critical บน Plug-in ของ Cisco WebEx สำหรับ Google Chrome และ Firefox ซึ่งช่วยให้แฮ็คเกอร์สามารถลอบส่งโค้ดแปลกปลอมเข้ามารันบนเครื่องคอมพิวเตอร์ของเหยื่อได้
Cisco WebEx เป็นแพลตฟอร์มสำหรับการติดต่อสื่อสารหรือจัดอีเวนต์ออนไลน์ที่เป็นที่นิยมไปทั่วโลก ไม่ว่าจะเป็น การประชุมผ่านวิดีโอ การจัด Webinar หรือการอบรมผ่านอินเทอร์เน็ต ซึ่งปัจจุบันนี้มีผู้ดาวน์โหลด Plug-in ไปติดตั้งบนเว็บเบราเซอร์แล้วมากกว่า 20 ล้านคน
ช่องโหว่ที่ Ormandy และ Neckar ค้นพบนี้ เป็นช่องโหว่ Remote Code Execution บน Cisco WebEx Plug-in สำหรับเว็บเบราเซอร์รายการที่ 2 ที่ค้นพบในปีนี้ มีรหัส CVE-2017-6753 ช่องโหว่นี้สามารถโจมตีได้โดยหลอกเหยื่อให้เข้าถึงเว็บไซต์ที่มีโค้ดอันตรายที่ถูกออกแบบมาเป็นพิเศษแฝงอยู่ ซึ่งโค้ดนี้จะส่งผลกระทบโดยตรงกับเบราเซอร์ของผู้ใช้ที่ติดตั้ง Cisco WebEx Plugin ส่งผลให้แฮ็คเกอร์สามารถลอบรันโค้ดแปลกปลอมโดยได้สิทธิ์ระดับเดียวกันกับเว็บเบราเซอร์นั้นๆ รวมไปถึงสามารถเข้าควบคุมเครื่องคอมพิวเตอร์ของเหยื่อได้
ช่องโหว่นี้ส่งผลกระทบต่อ Plug-in สำหรับ Cisco WebEx Meetings Server, Cisco WebEx Centers (Meeting Center, Event Center, Training Center และ Support Center) และ Cisco WebEx Meetings ที่รันบนระบบปฏิบัติการ Windows อย่างไรก็ตาม Cisco ได้แพทช์ Plug-in เวอร์ชัน 1.0.12 เพื่ออุดช่องโหว่ดังกล่าวบน Chrome และ Firefox เป็นที่เรียบร้อย แนะนำให้ผู้ใช้ Cisco WebEx ทุกคนอัปเดตแพทช์โดยด่วน
สำหรับผู้ใช้ Cisco WebEx ผ่านทาง Safari, IE และ Edge นั้น ไม่ได้รับผลกระทบต่อช่องโหว่นี้แต่อย่างใด
รายละเอียดเพิ่มเติม: https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170717-webex
ที่มา: http://thehackernews.com/2017/07/cisco-webex-vulnerability.html
