一、基本情况

3CX 是一家 VoIP IPBX 软件开发公司，其全球用户超过600000，日活用户量超过1200万。3CX DesktopApp是一种广泛使用的跨平台语音和视频会议应用程序。

二、漏洞描述

针对3CX 软件及其客户的供应链攻击（追踪为CVE-2023-29059），该漏洞是由于3CX DesktopApp 部分版本在构建安装程序时，内嵌了恶意代码，当程序安装时会执行恶意代码，并下载恶意Payload到目标环境中执行。

该攻击通过利用木马化3CX DesktopApp（Windows版本和Mac 版本），且使用合法的 3CX Ltd. 证书进行签名，该证书由 DigiCert 颁发。研究人员表示，这种木马化的 3CX DesktopApp是多阶段攻击链中的第一阶段，它从Github中提取附加了base64数据的ICO文件，并最终导致第三阶段的信息窃取程序 DLL。
三、影响范围

Electron Windows App shipped in Update 7 版本：18.12.407

Electron Windows App shipped in Update 7 版本：18.12.416

Electron Mac App版本：18.11.1213

Electron Mac App版本：18.12.402

Electron Mac App版本：18.12.407

Electron Mac App版本：18.12.416

四、修复建议

目前3CX暂未发布受影响产品的修复版本，受影响用户可安装不受影响的程序版本。

下载链接：

https://www.3cx.com/

五、参考链接

http://cn-sec.com/archives/1644928.html

https://www.3cx.com/blog/news/desktopapp-security-alert/