Abo
  • Services:

Cisco: Mit dem Webex-Plugin beliebigen Code ausführen

Ciscos Webex-Infrastruktur wird weltweit von Unternehmen genutzt. Eine Sicherheitslücke im Chrome-Plugin der Anwendung hat Angreifern die Ausführung eines beliebigen Codes ermöglicht.

Artikel veröffentlicht am ,
Ciscos Webex-Extension für Chrome war verwundbar.
Ciscos Webex-Extension für Chrome war verwundbar. (Bild: Tavis Ormandy)

Ciscos Webex-Plugin für den Chrome-Browser hat eine kritische Schwachstelle und sollte umgehend gepatcht werden. Die Sicherheitslücke in dem Kommunikationsplugin wurde von Tavis Ormandy von Googles Project Zero gefunden. Webex wird nach Angaben von Cisco von rund 20 Millionen Menschen weltweit genutzt, die Sicherheitslücke lässt sich zum Beispiel durch eine Drive-By-Attacke über eine Webseite ausnutzen. Das Plugin wird automatisch auf den neuesten Stand gebracht, die aktuelle Versionsnummer ist 1.0.3.

Stellenmarkt
  1. Diehl Metering GmbH, Ansbach / Metropolregion Nürnberg
  2. Lidl Dienstleistung GmbH & Co. KG, Neckarsulm

Angreifer müssen dazu nur eine Datei oder eine andere Ressource hosten, die den String "cwcsf-nativemsg-iframe-43c85c0d-d633-af5e-c056-32dc7efc570b.html" enthält. Mit diesem "Magic Pattern" wird Webex in die Lage versetzt, eine Webex-Sitzung auf einem entfernten Rechner zu starten.

Nach Angaben von Ormandy kann dieses Kommando durch jede beliebige Webseite genutzt werden, um Sitzungen zu starten. Außerdem ermöglicht der Fehler die Ausführung eines beliebigen Codes. Der Angriff erfordert keine Nutzerinteraktion, der Code kann außerdem in einem iFrame versteckt werden, so dass der Benutzer davon nichts mitbekommt.

Patch nach zwei Tagen

Cisco hat die Sicherheitslücke nur zwei Tage nach der privaten Offenlegung durch Ormandy gepatcht. Nach Angaben des Sicherheitsforscher könnte der Patch aber unvollständig sein, weil Ciscos eigene Webseite webex.com weiterhin Sitzungen ohne Warnung starten kann. Würde diese Webseite zum Beispiel eine Schwachstelle für Cross-Site-Scripting (XSS) aufweisen, könnte ein Angreifer nach wie vor einen Code einschleusen. Nach Angaben von Cisco werden regelmäßig Audits und Zertifizierungen von Webex durchgeführt.

Außerdem, so schreibt der Sicherheitsforscher Filippo Valsorda, sei die durch den Patch eingeführte Warnmeldung nicht verständlich und schütze nicht vor einem bösartigen Angriff. Tatsächlich erscheint nur eine Warnung, die Nutzer auffordert, den Beginn einer Webex-Sitzung zu bestätigen. Als Vorsichtsmaßnahme schlägt Valsorda vor, in Chrome ein eigenes Profil nur für Webex anzulegen und die Erweiterung für den normalen Nutzer zu entfernen.

Nachtrag vom 25. Januar 2017, 10:07 Uhr

Cisco hat uns auf Anfrage folgendes Statement zukommen lassen: "Cisco untersucht gerade alle Aspekte der Schwachstelle in der Cisco WebEx Browser Extension Remote Code-Ausführung. Am 24. Januar 2017 haben wir eine Sicherheitsanweisung herausgegeben, um dieses Problem anzugehen. Wir haben bereits damit begonnen, mehrere Fixes für die betroffenen Versionen zu veröffentlichen und wir werden weiterhin zusätzliche Updates bereitstellen, sobald sie in den kommenden Tagen verfügbar sind." Aktuelle Entwicklungen werden im Security Advisory dokumentiert.



Anzeige
Hardware-Angebote
  1. auf ausgewählte Corsair-Netzteile
  2. ab 349€
  3. und 4 Spiele gratis erhalten

TheSaint 24. Jan 2017

wird in dem Artikel von Filippo beschrieben. chrome://extensions/ aufrufen -> Developer...

egal 24. Jan 2017

Ob man diesem (amerikanischen) Unternehmen noch trauen mag, muss jeder für sich selbst...

hg (Golem.de) 24. Jan 2017

Oh, da bin ich wohl Mausgerutscht ;) Danke für den Hinweis, ist gefixt. VG,


Folgen Sie uns
       


Electronic Arts E3 2018 Pressekonferenz - Live

Mit Command & Conquer Rivals wollte sich die Golem.de-Community so gar nicht anfreunden, da haben Anthem und Unraveled Two mehr überzeugt.

Electronic Arts E3 2018 Pressekonferenz - Live Video aufrufen
Blackberry Key2 im Test: Ordentliches Tastatur-Smartphone mit zu vielen Schwächen
Blackberry Key2 im Test
Ordentliches Tastatur-Smartphone mit zu vielen Schwächen

Zwei Hauptkameras, 32 Tasten und viele Probleme: Beim Blackberry Key2 ist vieles besser als beim Keyone, unfertige Software macht dem neuen Tastatur-Smartphone aber zu schaffen. Im Testbericht verraten wir, was uns gut und was uns gar nicht gefallen hat.
Ein Test von Tobias Czullay

  1. Blackberry Key2 im Hands On Smartphone bringt verbesserte Tastatur und eine Dual-Kamera
  2. Blackberry Motion im Test Langläufer ohne Glanz

Segelschiff: Das Vindskip steckt in der Flaute
Segelschiff
Das Vindskip steckt in der Flaute

Hochseeschiffe gelten als große Umweltverschmutzer. Neue saubere Antriebe sind gefragt. Der Norweger Terje Lade hat ein futuristisches Segelschiff entwickelt. Doch solch ein neuartiges Konzept umzusetzen, ist nicht so einfach.
Ein Bericht von Werner Pluta

  1. Energy Observer Toyota unterstützt Weltumrundung von Brennstoffzellenschiff
  2. Hyseas III Schottische Werft baut Hochseefähre mit Brennstoffzelle
  3. Kreuzschifffahrt Wie Brennstoffzellen Schiffe sauberer machen

Nasa-Teleskop: Überambitioniert, überteuert und in dieser Form überflüssig
Nasa-Teleskop
Überambitioniert, überteuert und in dieser Form überflüssig

Seit 1996 entwickelt die Nasa einen Nachfolger für das Hubble-Weltraumteleskop. Die Kosten dafür stiegen seit dem von 500 Millionen auf über 10 Milliarden US-Dollar. Bei Tests fiel das Prestigeprojekt zuletzt durch lockere Schrauben auf. Wie konnte es dazu kommen?
Von Frank Wunderlich-Pfeiffer

  1. Nasa Forscher entdecken Asteroiden, bevor er die Erde erreicht
  2. Nasa 2020 soll ein Helikopter zum Mars fliegen
  3. Raumfahrt Nasa startet neue Beobachtungssonde Tess

    •  /