• IT-Karriere:
  • Services:

Cisco: Mit dem Webex-Plugin beliebigen Code ausführen

Ciscos Webex-Infrastruktur wird weltweit von Unternehmen genutzt. Eine Sicherheitslücke im Chrome-Plugin der Anwendung hat Angreifern die Ausführung eines beliebigen Codes ermöglicht.

Artikel veröffentlicht am ,
Ciscos Webex-Extension für Chrome war verwundbar.
Ciscos Webex-Extension für Chrome war verwundbar. (Bild: Tavis Ormandy)

Ciscos Webex-Plugin für den Chrome-Browser hat eine kritische Schwachstelle und sollte umgehend gepatcht werden. Die Sicherheitslücke in dem Kommunikationsplugin wurde von Tavis Ormandy von Googles Project Zero gefunden. Webex wird nach Angaben von Cisco von rund 20 Millionen Menschen weltweit genutzt, die Sicherheitslücke lässt sich zum Beispiel durch eine Drive-By-Attacke über eine Webseite ausnutzen. Das Plugin wird automatisch auf den neuesten Stand gebracht, die aktuelle Versionsnummer ist 1.0.3.

Stellenmarkt
  1. operational services GmbH & Co. KG, Braunschweig
  2. operational services GmbH & Co. KG, Wolfsburg, Braunschweig, Hannover

Angreifer müssen dazu nur eine Datei oder eine andere Ressource hosten, die den String "cwcsf-nativemsg-iframe-43c85c0d-d633-af5e-c056-32dc7efc570b.html" enthält. Mit diesem "Magic Pattern" wird Webex in die Lage versetzt, eine Webex-Sitzung auf einem entfernten Rechner zu starten.

Nach Angaben von Ormandy kann dieses Kommando durch jede beliebige Webseite genutzt werden, um Sitzungen zu starten. Außerdem ermöglicht der Fehler die Ausführung eines beliebigen Codes. Der Angriff erfordert keine Nutzerinteraktion, der Code kann außerdem in einem iFrame versteckt werden, so dass der Benutzer davon nichts mitbekommt.

Patch nach zwei Tagen

Cisco hat die Sicherheitslücke nur zwei Tage nach der privaten Offenlegung durch Ormandy gepatcht. Nach Angaben des Sicherheitsforscher könnte der Patch aber unvollständig sein, weil Ciscos eigene Webseite webex.com weiterhin Sitzungen ohne Warnung starten kann. Würde diese Webseite zum Beispiel eine Schwachstelle für Cross-Site-Scripting (XSS) aufweisen, könnte ein Angreifer nach wie vor einen Code einschleusen. Nach Angaben von Cisco werden regelmäßig Audits und Zertifizierungen von Webex durchgeführt.

Außerdem, so schreibt der Sicherheitsforscher Filippo Valsorda, sei die durch den Patch eingeführte Warnmeldung nicht verständlich und schütze nicht vor einem bösartigen Angriff. Tatsächlich erscheint nur eine Warnung, die Nutzer auffordert, den Beginn einer Webex-Sitzung zu bestätigen. Als Vorsichtsmaßnahme schlägt Valsorda vor, in Chrome ein eigenes Profil nur für Webex anzulegen und die Erweiterung für den normalen Nutzer zu entfernen.

Nachtrag vom 25. Januar 2017, 10:07 Uhr

Cisco hat uns auf Anfrage folgendes Statement zukommen lassen: "Cisco untersucht gerade alle Aspekte der Schwachstelle in der Cisco WebEx Browser Extension Remote Code-Ausführung. Am 24. Januar 2017 haben wir eine Sicherheitsanweisung herausgegeben, um dieses Problem anzugehen. Wir haben bereits damit begonnen, mehrere Fixes für die betroffenen Versionen zu veröffentlichen und wir werden weiterhin zusätzliche Updates bereitstellen, sobald sie in den kommenden Tagen verfügbar sind." Aktuelle Entwicklungen werden im Security Advisory dokumentiert.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote

TheSaint 24. Jan 2017

wird in dem Artikel von Filippo beschrieben. chrome://extensions/ aufrufen -> Developer...

egal 24. Jan 2017

Ob man diesem (amerikanischen) Unternehmen noch trauen mag, muss jeder für sich selbst...

hg (Golem.de) 24. Jan 2017

Oh, da bin ich wohl Mausgerutscht ;) Danke für den Hinweis, ist gefixt. VG,


Folgen Sie uns
       


Smartphone-Kameravergleich 2019

Der Herbst ist Oberklasse-Smartphone-Zeit, und wir haben uns im Test die Kameras der aktuellen Geräte angeschaut. Im Vergleich zeigt sich, dass die Spitzengruppe bei der Bildqualität weiter zusammengerückt ist, es aber immer noch Geräte gibt, die sich durch bestimmte Funktionen hervortun.

Smartphone-Kameravergleich 2019 Video aufrufen
Social Engineering: Die Mitarbeiter sind unsere Verteidigung
Social Engineering
"Die Mitarbeiter sind unsere Verteidigung"

Prävention reicht nicht gegen Social Engineering und die derzeitigen Trainings sind nutzlos, sagt der Sophos-Sicherheitsexperte Chester Wisniewski. Seine Lösung: Mitarbeiter je nach Bedrohungslevel schulen - und so schneller sein als die Kriminellen.
Ein Interview von Moritz Tremmel

  1. Social Engineering Mit künstlicher Intelligenz 220.000 Euro erbeutet
  2. Social Engineering Die unterschätzte Gefahr

Surface Laptop 3 (15 Zoll) im Test: Das 15-Zoll-Macbook mit Windows 10 und Ryzen
Surface Laptop 3 (15 Zoll) im Test
Das 15-Zoll-Macbook mit Windows 10 und Ryzen

Was passiert, wenn ein 13-Zoll-Notebook ein 15-Zoll-Panel erhält? Es entsteht der Surface Laptop 3. Er ist leicht, sehr gut verarbeitet und hat eine exzellente Tastatur. Das bereitet aber nur Freude, wenn wir die wenigen Anschlüsse und den recht kleinen Akku verkraften können.
Ein Test von Oliver Nickel

  1. Surface Laptop 3 mit 15 Zoll Microsoft könnte achtkernigen Ryzen verbauen

Kognitive Produktionssteuerung: Auf der Suche nach dem Universalroboter
Kognitive Produktionssteuerung
Auf der Suche nach dem Universalroboter

Roboter erledigen am Band jetzt schon viele Arbeiten. Allerdings müssen sie oft noch von Menschen kontrolliert und ihre Fehler ausgebessert werden. Wissenschaftler arbeiten daran, dass das in Zukunft nicht mehr so ist. Ziel ist ein selbstständig lernender Roboter für die Automobilindustrie.
Ein Bericht von Friedrich List

  1. Ocean Discovery X Prize Autonome Fraunhofer-Roboter erforschen die Tiefsee

    •  /