思科修復 Webex 允許攻擊者加入私人會議漏洞
思科已經解決了webex Meetings中的三個漏洞（CVE-2020-3441，CVE-2020-3471和CVE-2020-3419），這些漏洞將允許未經身份驗證的遠程攻擊者以虛假參與者的身份加入正在進行的會議。
“ Cisco Webex Meetings和Cisco Webex Meetings Server中的漏洞可能允許未經身份驗證的遠程攻擊者加入Webex會話，而不會出現在參與者列表上。” 閱讀思科發布的安全公告。
IBM研究人員在今年早些時候發現了這些漏洞，這是對其人員在COVID-19大流行期間遠程工作使用的工具進行評估的一部分。
可以在用戶列表中看到參加會議的ghost參與者，但是即使沒有邀請，他們也可以訪問會議中的任何媒體。
這些漏洞還使攻擊者可以在管理員刪除Webex會議后仍以ghost audio用戶的身份留在Webex會議中，還使他們能夠訪問Webex用戶的信息，包括全名，電子郵件地址和IP地址。
這些漏洞會影響Cisco Webex Meetings和Cisco Webex Meetings Server，它們位于允許建立新Webex會議的“握手”過程中。
“惡意行為者可能濫用這些漏洞而成為參加會議的“ghost”而未被發現。” 讀取IBM發布的報告。“由IBM研究人員發現的現在已修復的漏洞將使攻擊者能夠：
- *以ghost般的身份參加Webex會議， 而不會在與會者列表中看到其具有對音頻，視頻，聊天和屏幕共享功能的完全訪問權限。*
- *被趕出會議后，留在Webex會議上作為ghost ，保持音頻連接。*
- 即使沒有被允許參加會議，也可以從會議室大廳*訪問有關與會者的信息， *包括全名，電子郵件地址和IP地址。”
專家們能夠利用MacOS，Windows，iOS版的Meetings應用程序和Webex Room Kit設備上的漏洞。
“一旦開始或解鎖會議，ghost就可以通過握手操作溜進來，并加入會議，而不會出現在任何與會者列表（包括主持人的與會者列表）上。ghost可以看到和聽到其他參與者，并可以查看共享的屏幕和聊天，而無需透露他們的存在。” 繼續報告。
“使用這種技術，參與者唯一可能會感到不孤單的提示是新音頻連接的提示音。對于特別大型的會議，主持人可能會禁用進入和退出提示音，從而使虛擬主機能夠完全隱身進入。在其他情況下，ghost的進入音會播放，但主持人或其他未在計數且未將每個音色與特定參與者相關聯的參與者可能會忽略。
思科已經修補了基于云的思科Webex Meetings站點，并發布了針對本地軟件的安全更新，以解決這些漏洞。
