思科已经针对一些关键漏洞推出了补丁程序，这些漏洞影响了Windows，MacOS的Jabber客户端以及iOS和Android的移动应用程序。
该漏洞很严重，最严重的漏洞的严重性等级为9.9（满分10）。更糟糕的是，漏洞在3个月前针对Jabber的更新中得到修复，而研究人员发布了概念验证漏洞利用代码后不久可以通过即时消息加以利用的可虫害。
Jabber是Cisco广泛使用的企业聊天和即时消息平台，该平台于2008年被收购。该应用程序基于Chromium嵌入式框架（CEF），开发人员可以在其应用程序中嵌入本机基于沙盒的基于Chromium的Web浏览器。
思科表示，这些漏洞使攻击者可以“以更高的特权在底层操作系统上执行任意程序，或者获得对敏感信息的访问权”。客户别无选择，只能安装最新的更新以防止受到攻击。
挪威安全机构Watchcom在今年早些时候发现，Jabber容易受到XHTML-IM消息的跨站点脚本（XSS）的攻击。Jabber没有适当地清理传入的HTML消息，而是将它们通过错误的XSS过滤器传递。
思科指出，如果攻击者可以向运行Cisco Jabber的最终用户系统发送可扩展消息和状态协议（XMPP）消息，则可以利用新的消息处理漏洞。
酒店和娱乐业受到COVID-19大流行造成的经济停顿的打击最大。在这次独家TechRepublic Premium CXO Insider采访中，米高梅商业与增长总裁Atif Rafiq …TechRepublic Premium提供的研究
思科在一份通报中指出： “攻击者可能需要访问相同的XMPP域或另一种访问方法，才能向客户端发送消息。”
跟踪了三个未完全修复的错误，分别为CVE-2020-26085，CVE-2020-27127和CVE-2020-27132。
Watchcom于今年早些时候向思科报告了四个漏洞，并且在9月被网络巨头披露。但是，据Watchcom称，其中的三个当时未正确修复。
在客户请求审核以检查是否已充分缓解Cisco现有补丁中的错误之后，Watchcom探查了补丁。它发现错误没有得到缓解。
三个不正确修补的错误中的两个可以用于获得远程代码执行。其中之一也可以用来从用户那里获取NT LAN Manager（NTLM）密码哈希。
Watchcom的渗透测试人员Olav Sortland Thoresen解释说：“其中两个漏洞是由于将自定义HTML标签插入XMPP消息而引起的。”
“ 9月份发布的补丁仅修补了Watchcom已经确定的特定注入点。根本的问题没有得到解决。因此，我们能够找到可用于利用漏洞的新注入点。
他补充说：“由于某些漏洞是蠕虫病毒，因此组织应考虑禁用通过Cisco Jabber与外部组织的通信，直到所有员工都安装了此更新为止。”
思科还在内部测试期间在Jabber中发现了两个其他错误。它们被跟踪为CVE-2020-27133和CVE-2020-27134。
CVE-2020-27134是Windows Jabber的应用程序协议处理功能中的漏洞，严重等级为10。
CVE-2020-27133的严重等级为8.8，影响Windows的Jabber和macOS的Jabber。它可能允许经过身份验证的远程攻击者访问敏感信息。
*编译：Domino
*来自：zdnet