Cisco: Mit dem Webex-Plugin beliebigen Code ausführen

Ciscos Webex-Infrastruktur wird weltweit von Unternehmen genutzt. Eine Sicherheitslücke im Chrome-Plugin der Anwendung hat Angreifern die Ausführung eines beliebigen Codes ermöglicht.

Artikel veröffentlicht am ,
Ciscos Webex-Extension für Chrome war verwundbar.
Ciscos Webex-Extension für Chrome war verwundbar. (Bild: Tavis Ormandy)

Ciscos Webex-Plugin für den Chrome-Browser hat eine kritische Schwachstelle und sollte umgehend gepatcht werden. Die Sicherheitslücke in dem Kommunikationsplugin wurde von Tavis Ormandy von Googles Project Zero gefunden. Webex wird nach Angaben von Cisco von rund 20 Millionen Menschen weltweit genutzt, die Sicherheitslücke lässt sich zum Beispiel durch eine Drive-By-Attacke über eine Webseite ausnutzen. Das Plugin wird automatisch auf den neuesten Stand gebracht, die aktuelle Versionsnummer ist 1.0.3.

Angreifer müssen dazu nur eine Datei oder eine andere Ressource hosten, die den String "cwcsf-nativemsg-iframe-43c85c0d-d633-af5e-c056-32dc7efc570b.html" enthält. Mit diesem "Magic Pattern" wird Webex in die Lage versetzt, eine Webex-Sitzung auf einem entfernten Rechner zu starten.

Nach Angaben von Ormandy kann dieses Kommando durch jede beliebige Webseite genutzt werden, um Sitzungen zu starten. Außerdem ermöglicht der Fehler die Ausführung eines beliebigen Codes. Der Angriff erfordert keine Nutzerinteraktion, der Code kann außerdem in einem iFrame versteckt werden, so dass der Benutzer davon nichts mitbekommt.

Patch nach zwei Tagen

Cisco hat die Sicherheitslücke nur zwei Tage nach der privaten Offenlegung durch Ormandy gepatcht. Nach Angaben des Sicherheitsforscher könnte der Patch aber unvollständig sein, weil Ciscos eigene Webseite webex.com weiterhin Sitzungen ohne Warnung starten kann. Würde diese Webseite zum Beispiel eine Schwachstelle für Cross-Site-Scripting (XSS) aufweisen, könnte ein Angreifer nach wie vor einen Code einschleusen. Nach Angaben von Cisco werden regelmäßig Audits und Zertifizierungen von Webex durchgeführt.

Außerdem, so schreibt der Sicherheitsforscher Filippo Valsorda, sei die durch den Patch eingeführte Warnmeldung nicht verständlich und schütze nicht vor einem bösartigen Angriff. Tatsächlich erscheint nur eine Warnung, die Nutzer auffordert, den Beginn einer Webex-Sitzung zu bestätigen. Als Vorsichtsmaßnahme schlägt Valsorda vor, in Chrome ein eigenes Profil nur für Webex anzulegen und die Erweiterung für den normalen Nutzer zu entfernen.

Nachtrag vom 25. Januar 2017, 10:07 Uhr

Cisco hat uns auf Anfrage folgendes Statement zukommen lassen: "Cisco untersucht gerade alle Aspekte der Schwachstelle in der Cisco WebEx Browser Extension Remote Code-Ausführung. Am 24. Januar 2017 haben wir eine Sicherheitsanweisung herausgegeben, um dieses Problem anzugehen. Wir haben bereits damit begonnen, mehrere Fixes für die betroffenen Versionen zu veröffentlichen und wir werden weiterhin zusätzliche Updates bereitstellen, sobald sie in den kommenden Tagen verfügbar sind." Aktuelle Entwicklungen werden im Security Advisory dokumentiert.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


TheSaint 24. Jan 2017

wird in dem Artikel von Filippo beschrieben. chrome://extensions/ aufrufen -> Developer...

egal 24. Jan 2017

Ob man diesem (amerikanischen) Unternehmen noch trauen mag, muss jeder für sich selbst...

hg (Golem.de) 24. Jan 2017

Oh, da bin ich wohl Mausgerutscht ;) Danke für den Hinweis, ist gefixt. VG,



Aktuell auf der Startseite von Golem.de
Landkreis Lüneburg
Anwohner mit Ponys protestieren gegen Telekom-Sendemast

Ein 40 Meter hoher Funkmast lässt Bewohner im Großraum Lüneburg um ihr Leben fürchten. Besonders den Ponyhof sieht man durch 5G bedroht.

Landkreis Lüneburg: Anwohner mit Ponys protestieren gegen Telekom-Sendemast
Artikel
  1. Microsoft Azure: Tippfehler führt zu zehnstündigem Cloud-Ausfall
    Microsoft Azure
    Tippfehler führt zu zehnstündigem Cloud-Ausfall

    Statt eines Schnappschusses hat ein Azure-Team von Microsoft sämtliche produktive Datenbanken eines Dienstes gelöscht.

  2. Energiewende: Solarstrom aus dem All
    Energiewende
    Solarstrom aus dem All

    Das Konzept ist ein halbes Jahrhundert alt: sauberen Strom im All zu erzeugen und zur Erde zu übertragen. Das erste Experiment dazu ist jetzt offenbar geglückt.
    Ein Bericht von Werner Pluta

  3. KI-Texte erkennen: Wer hat's geschrieben, Mensch oder Maschine?
    KI-Texte erkennen
    Wer hat's geschrieben, Mensch oder Maschine?

    Modelle wie ChatGPT sind so gut, dass sich KI- und Menschen-Texte kaum unterscheiden lassen. Forscher arbeiten nun an Verfahren, die sich nicht täuschen lassen.
    Ein Deep Dive von Andreas Meier

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    • Daily Deals • PS5 inkl. GoW Ragnarök oder CoD MW2 549€ • MSI RTX 4070 Ti 999€ • Gigabyte 43" 4K UHD 144 Hz 717€ • Amazon FireTV Smart-TVs bis -32% • MindStar: AMD Ryzen 7 5800X3D 285€, PowerColor RX 7900 XTX Hellhound 989€ • SanDisk Ultra NVMe 1TB 39,99€ • Samsung 980 1TB 45€ [Werbung]
    •  /