The web-based user interface in Cisco Jabber through 9.6(3) and 9.7 through 9.7(5) on Windows allows remote attackers to obtain sensitive in

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• cisco jabber9.6(0)
• cisco jabber9.6(1)
• cisco jabber9.6(2)
• cisco jabber9.6(3)
• cisco jabber9.7(0)
• cisco jabber9.7(1)
• cisco jabber9.7(2)
• cisco jabber9.7(3)
• cisco jabber9.7(4)
• cisco jabber9.7(5)

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-3495Cisco Jabber for Windows Message Handling Arbitrary Code Execution Vulnerability
  53В плане
• CVE-2020-26085Cisco Jabber Desktop and Mobile Client Software Vulnerabilities
  40В плане
• CVE-2020-27134Cisco Jabber Desktop and Mobile Client Software Vulnerabilities
  40В плане
• CVE-2021-1411Cisco Jabber Desktop and Mobile Client Software Vulnerabilities
  39Наблюдать
• CVE-2020-27133Cisco Jabber Desktop and Mobile Client Software Vulnerabilities
  39Наблюдать
• CVE-2020-27132Cisco Jabber Desktop and Mobile Client Software Vulnerabilities
  39Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.