أستكشاف الأخطاء وإصلاحها عندما يتعذر على Jabber تقديم محتوى ChatBot

المقدمة

يصف هذا المستند كيفية أستكشاف أخطاء Cisco Jabber وإصلاحها باستخدام عرض محتوى المحادثة بعد تعديل رمز Jabber.

معلومات أساسية

يتمتع عملاء Jabber بالقدرة على تضمين Cisco Jabber Bot، التي تم تطويرها باستخدام مجموعة أدوات تطوير البرامج (SDK) التي توفر إطارا ومجموعة أدوات لتنفيذ خطوات حوارية تفاعلية على النظام الأساسي لرسائل المراسلة الفورية والتواجد (IM&P) من Cisco أو خادم Webex Messenger من Cisco. هناك علامات تمييز معينة للغة ترميز النص التشعبي (HTML) يمكن تكوينها للحصول على روتين Jabber أساسي.

إذا كان إصدار Jabber هو 12.9.4 أو إصدار أقدم فإن الثرثرة تبدو كما هو موضح في الصورة، ويملك Jabber إمكانية عرض جميع الأزرار والخيارات الموضحة في رمز الخط.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية.

• Cisco Jabber
• Cisco Jabber Bot SDK

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية.

• Jabber الإصدار 12.9.x.
• Jabber الإصدار 14.x.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المشكلة 

إذا كان إصدار عميل Jabber هو 12.9.5 أو 14.0 أو إصدار أحدث، بسبب نقاط الضعف التي تم نشرها في مارس 2022 (CVE-2020-3155)، فإن Jabber الآن غير قادر على تقديم محتوى المحادثات لأنها تعرض محتوى HTML في واجهة العميل.

تجعل هذه الوظيفة Jabber عرضة لهجمات من أساليب Man في الوسط (MITM) لاعتراض حركة المرور بين العميل المتأثر ونقطة النهاية، ثم إستخدام شهادة مزورة لانتحال نقطة النهاية. وقد يسمح الاستغلال للمهاجم بعرض محتوى العرض التقديمي المشترك عليه، أو تعديل أي محتوى يقدمه الضحية، أو إمكانية الوصول إلى عناصر التحكم في الاتصال. يعتمد هذا على تكوين نقطة النهاية.

بسبب هذه الثغرة، قام المطورون بإدخال قاعدة تأمين للسماح بعدة عناصر ل Jabber في علامات شفرة HTML لتشكيل الثرثرة.

قبل الثغرة، لم يكن هناك فحوصات أمان لرسالة البوت، ولكن بعد آخر تغيير أمان للقابلية للتأثر، يتم الآن فحص رسالة البوت بواسطة آليات الأمان الجديدة.

تتكون قاعدة التأمين من علامات التمييز التالية المسموح بها وخصائص النمط.

العلامات المسموح بها.

{"span", "font", "a", "br", "strong", "em", "u","div", "table", "tbody", "tr", "td", "h1", "h2", "h3", 
"h4", "h5", "h6", "b", "p","i", "blockquote", "ol", "li", "ul", "pre", "code"} 

سمات النمط المسموح بها.

{"font", "text-decoration", "color", "font-weight", "font-size", "font-family", "font-style"}

العلامات غير المسموح بها.

{“label”, “button”, “select”, “form”} 

الحل

إذا كان إعلان Cisco Jabber bot يحتوي على بعض أو كل علامات التمييز غير المسموح بها المشار إليها أعلاه، فإن الحل يتكون من مسح علامات التمييز تلك من شفرة HTML. ومع ذلك، إذا كانت هناك حاجة إليها لكي يعمل الروبوت، يلزم توفر مفتاح تكوين.

لتجنب أي ضعف في نفس الوقت، من الممكن إستخدام الدردشة التقليدية التي تم إنشائها باستخدام خصائص النمط والعلامات المسموح بها المذكورة. 

من إصلاح أمان Jabber، لا يمكن قبول كل أنماط الخط الأخرى أو السمات خارج القائمة المسموح بها. لذلك، يجب عليك تغيير السمات في الثرثرة لتضمين تلك السمات فقط.

إذا كنت لا تزال تتطلب إستخدام المحادثة بشكل طبيعي، فهذا يعني، مع العلامات غير المسموح بها، أن هناك مفتاح تكوين خيار تجسيد HTML يمكن إضافته إلى ملف jabber-config.xml (ملف تكوين Jabber).

• hardening_xmpp_bot: قم بتعيينه على "FALSE" مثل ما هو الحال في سطر المثال.

مثال: <hardening_xmpp_bot>FALSE</hardening_xmpp_bot>

التحقق من الصحة

لا يوجد حاليًا إجراء للتحقق من صحة هذا التكوين.

استكشاف الأخطاء وإصلاحها

هناك حاليا ما من خاص أستكشاف الأخطاء وإصلاحها معلومة يتوفر ل هذا تشكيل.

معلومات ذات صلة