jueves, 8 de mayo de 2014

Ejecución remota de código en Cisco WebEx Player

Cisco Systems ha alertado de importantes vulnerabilidades detectadas en los clientes de reproducción presente en algunas suites de la familia WebEx, que permitirían la ejecución remota de código y afectan múltiples versiones y plataformas (PC, MAC y Linux).

WebEx es un sistema para la realización de reuniones online como si se llevaran a cabo de forma presencial, con la posibilidad de compartir documentos, ofrecer presentaciones, mostrar productos y servicios, etc. así como realizar grabaciones de las mismas.

Cisco WebEx ARF Player y Cisco WebEx WRF Player son aplicaciones empleadas para la reproducción y edición de archivos WebEx ARF y WRF. Estos formatos son los utilizados por WebEx para la reproducción de las emisiones y contenido multimedia grabado o editado en una reunión online.

Estos reproductores pueden instalarse de forma automática cuando el usuario accede a una sesión grabada alojada en un servidor WebEx. También pueden instalarse de forma manual descargando la aplicación desde http://www.webex.com/play-webex-recording.html.

Según este boletín de seguridad, los reproductores WRF y ARF se ven afectados por una lectura fuera de los límites de la memoria (CVE-2014-2132), una corrupción de memoria en la descompresión LZW en el reproductor ARF (CVE-2014-2133), un desbordamiento de búfer en el tratamiento del canal de audio en archivos WRF (CVE-2014-2134) y dos problemas de corrupción de memoria en el reproductor ARF (CVE-2014-2135 y CVE-2014-2136).

Los problemas podrían llegar a provocar la ejecución remota de código a través de la distribución (mediante email o sitios web) y posterior reproducción de contenido ARF/WRF especialmente manipulado. La vulnerabilidad no puede afectar a los usuarios que atienden a una sesión WebEx en directo.

Las versiones afectadas de la familia Cisco WebEx Business Suite, Cisco
WebEx 11, y Cisco WebEx Meetings Server son las siguientes:

Se ven afectados los clients de las siguientes versiones de Cisco WebEx Business Suite (WBS27, WBS28 y WBS29), Cisco WebEx 11 y Cisco WebEx Meetings Server:
  • Cisco WebEx Business Suite (WBS29) versiones de cliente anteriores a T29.2
  • Cisco WebEx Business Suite (WBS28) versiones de cliente anteriores a T28.12
  • Cisco WebEx Business Suite (WBS27) versiones de cliente anteriores a T27LDSP32EP16 (27.32.16)
  • Cisco WebEx 11 versiones anteriores a 1.2.10 con versiones de cliente anteriores a T28.12
  • Cisco WebEx Meetings Server versiones de cliente anteriores a 2.0.0.1677


Se recomienda actualizar las versiones afectadas a la última versión disponible:
Igualmente Cisco ha publicado versiones actualizadas de los productos servidor, la mayoría de ellos son actualizados de forma automática.

Más información:

Multiple Vulnerabilities in the Cisco WebEx Recording Format and Advanced Recording Format Players



Antonio Ropero
Twitter: @aropero


No hay comentarios:

Publicar un comentario en la entrada