Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Cisco Jabber < 1.9.31 Cisco Jabber 11.8(4) Windows Cisco Jabber < 11.8(4.52954) Windows Betroffene Plattformen: Apple iOS Apple Mac OS X macOS Sierra Google Android Operating System Microsoft Windows Ein lokaler, einfach authentisierter Angreifer kann eine Schwachstelle in Jabber bzw. Cisco Jabber für Windows Clients ausnutzen, um vertrauliche Profilinformationen von Benutzern auszuspähen, während ihm eigentlich nur bestimmte Parameter von Jabber zugänglich sein sollten. Cisco bestätigt die Schwachstellen für Cisco Jabber vor Release 1.9.31 bzw. für Cisco Jabber for Windows 11.8(4) und benennt hier die Version 11.8(4.52954) unter 'Known Fixed Releases' (siehe referenzierte Cisco Bug ID CSCve14401). Patch: Cisco Security Advisory cisco-sa-20171018-jab (CVE-2017-12284) https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171018-jab

Patch:

Cisco Security Advisory cisco-sa-20171018-jab1 (CVE-2017-12286)

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171018-jab1

CVE-2017-12286: Schwachstelle in Cisco Jabber ermöglicht Ausspähen von
Informationen

In der Webschnittstelle von Cisco Jabber existiert eine Schwachstelle
aufgrund fehlender Eingabe- und Validierungsprüfungen in der betroffenen
Software. Ein Angreifer kann diese Schwachstelle ausnutzen, indem er
spezifische Kommandos absetzt, nachdem er sich gegenüber dem System
authentisiert hat, wodurch es ihm möglich ist, alle Profilinformationen von
Benutzern einzusehen anstelle nur bestimmter Jabber-Parameter. Ein lokaler,
einfach authentisierter Angreifer kann vertrauliche Information ausspähen.

CVE-2017-12284: Schwachstelle in Cisco Jabber ermöglicht Ausspähen von
Informationen

In der Webschnittstelle von Cisco Jabber für Windows Clients existiert eine
Schwachstelle aufgrund fehlender Mechanismen zur Eingabe- und
Validierungsprüfung im System. Ein Angreifer kann diese Schwachstelle
ausnutzen, indem er spezifische Kommandos absetzt, nachdem er sich gegenüber
dem System authentisiert hat, wodurch es möglich ist, Profilinformationen
einzusehen, obwohl nur bestimmte Parameter sichtbar sein sollten. Ein
lokaler, einfach authentisierter Angreifer kann vertrauliche Information
ausspähen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1841/

Cisco Security Advisory cisco-sa-20171018-jab (CVE-2017-12284):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171018-jab

Cisco Security Advisory cisco-sa-20171018-jab1 (CVE-2017-12286):
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171018-jab1

Schwachstelle CVE-2017-12284 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12284

Schwachstelle CVE-2017-12286 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-12286

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.