思科修补可让骇客溜进会议的Webex漏洞

思科（Cisco）本周修补了旗下视讯会议平台Webex的3个安全漏洞，这些漏洞将分别允许使用者加入会议而不出现在与会名单上，或是在被逐出会议之后还能持续窃听会议内容，以及取得与会人员的机密资讯，相关漏洞皆是由IBM所通报。

IBM说明，随着疫情的爆发，今年5月全美有超过1亿的员工在家中工作，而使得视讯会议平台等协作工具的使用愈来愈普及，包括IBM也有许多员工借由这些工具自远端办公，使得他们决定检查这些工具的安全性，并在他们主要使用的Webex平台上发现了安全漏洞。

从今年2月到6月间，全球Webex的使用量成长了451%，巅峰时Webex一天的会议量高达400万场，参与会议的人数超过3亿人。

在这3个漏洞中，最令人毛骨悚然的应该是CVE-2020-3419，它源自于Webex不当处理身份认证令牌，使得骇客得以蛰伏在会议中而不被发现，他不会出现在与会人员的列表中，却能存取会议中的声音、影片、聊天或屏幕分享，等于是鬼魅般的存在。不过，要开采该漏洞的前提是骇客必须先取得会议连结及与会密码。

IBM则说，相关漏洞都与Webex用来和与会人员建立连结的握手（handshake）程序有关，这些漏洞允许骇客操纵握手程序中，Webex服务器与客户端程式之间的资讯交换，对于可用来隐身于会议中的CVE-2020-3419漏洞，IBM已在MacOS、Windows与iOS版的Webex程式中成功复制。

其实只要有人加入会议，系统就会发出哔声，因此并非全然无声息，只不过有时会议人数众多，可能会被忽略，或者是主持人关闭了加入或离开会议的声音提示。

而CVE-2020-3471漏洞则可在与会人员被逐出会议之后，继续保留在会议中，但此时只能存取会议的语音。该漏洞是因Webex的会议及媒体服务之间的不同步所造成的，骇客只要传送一个特制的请求到一个Cisco Webex Meetings 或Cisco Webex Meeting服务器网站即可开采该漏洞。

另一个CVE-2020-3441漏洞肇因于Webex对与会人员的资料保护不够周全，就算骇客只是在会议大厅等候，也能浏览Webex名册，取得与会人员的各种资讯，包括全名、电子邮件位址与IP地址。