Баги Cisco Webex позволяют незримо присутствовать на чужой конференции

Баги Cisco Webex позволяют незримо присутствовать на чужой конференции

Баги Cisco Webex позволяют незримо присутствовать на чужой конференции

В продуктах линейки Webex Meetings производства Cisco Systems выявлены три уязвимости, позволяющие нелегально присоединиться к видеоконференции и следить за ее ходом, не раскрывая своего присутствия. Профильные облачные сервисы Cisco пропатчила, заплатки для мобильных и серверных приложений Webex уже доступны, выпуск остальных запланирован на 24 ноября.

По словам авторов находки, новые проблемы связаны с возможностью манипулирования данными, которыми клиент Webex и бэкенд-сервер обмениваются в ходе рукопожатия. Внедрение участника-невидимки в видеоконференцию и персональные комнаты Webex было с успехом воспроизведено на macOS, Windows и iOS.

Представляя результаты анализа уязвимостей, эксперты IBM отметили, что эксплуатация во всех случаях возможна лишь при наличии URL запланированного мероприятия и производится путем подачи особого запроса на целевой сервер.

Согласно описаниям Cisco, новые лазейки в совокупности позволяют атакующему сделать следующее:

  1. Присоединиться к Webex-конференции, не попав ни в один список участников, и получить полный доступ к средствам аудио- и видеотрансляции, чатам, а также текстовым и графическим материалам (CVE-2020-3419).
  2. Слушать выступления даже после занесения в черные списки (CVE-2020-3471).
  3. Собирать информацию об участниках конференции, такую как полное имя, email, IP-адрес и проч. (CVE-2020-3441).

В текущем году популярность платформы Webex, по данным IBM, увеличилась в 5,5 раза — видимо, из-за COVID-19. В пиковые дни сидящие на удаленке сотрудники компаний проводили по 4 млн Webex-встреч с количеством участников до 324 миллионов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Бывший замглавы Минцифры Максим Паршин осуждён на 9 лет

Хамовнический суд Москвы приговорил бывшего заместителя министра цифрового развития, связи и массовых коммуникаций Максима Паршина к девяти годам лишения свободы за получение взятки. Отбывать наказание он будет в колонии строгого режима.

Его подельник, бывший генеральный директор компании «Бюджетные и финансовые технологии» Александр Моносов, получил срок на полгода меньше — восемь с половиной лет колонии строгого режима.

О вынесении приговора сообщил корреспондент ТАСС из зала суда. Кроме лишения свободы, обоим фигурантам предстоит выплатить штраф в размере 315 млн рублей.

Максим Паршин также лишён звания действительного государственного советника Российской Федерации 3-го класса. Кроме того, ему запрещено занимать государственные должности в течение шести лет после освобождения. Александру Моносову запрещено занимать руководящие посты в течение пяти лет после окончания срока наказания.

Отмечается, что гособвинение просило назначить для Максима Паршина более суровое наказание — 13 лет лишения свободы и штраф в 315 млн рублей, а для Александра Моносова — 12 лет лишения свободы и штраф в 500 млн рублей.

Оба были задержаны с поличным 13 июня 2023 года в одном из московских ресторанов. При передаче взятки Александр Моносов вручил Максиму Паршину папку, внутри которой находились 3,75 млн рублей. По версии следствия, деньги предназначались за содействие в выделении гранта компании «Бюджетные и финансовые технологии», которую возглавлял Моносов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru