Abo
  • Services:

Cisco: Mit dem Webex-Plugin beliebigen Code ausführen

Ciscos Webex-Infrastruktur wird weltweit von Unternehmen genutzt. Eine Sicherheitslücke im Chrome-Plugin der Anwendung hat Angreifern die Ausführung eines beliebigen Codes ermöglicht.

Artikel veröffentlicht am ,
Ciscos Webex-Extension für Chrome war verwundbar.
Ciscos Webex-Extension für Chrome war verwundbar. (Bild: Tavis Ormandy)

Ciscos Webex-Plugin für den Chrome-Browser hat eine kritische Schwachstelle und sollte umgehend gepatcht werden. Die Sicherheitslücke in dem Kommunikationsplugin wurde von Tavis Ormandy von Googles Project Zero gefunden. Webex wird nach Angaben von Cisco von rund 20 Millionen Menschen weltweit genutzt, die Sicherheitslücke lässt sich zum Beispiel durch eine Drive-By-Attacke über eine Webseite ausnutzen. Das Plugin wird automatisch auf den neuesten Stand gebracht, die aktuelle Versionsnummer ist 1.0.3.

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart
  2. CSL Behring GmbH, Marburg, Hattersheim am Main

Angreifer müssen dazu nur eine Datei oder eine andere Ressource hosten, die den String "cwcsf-nativemsg-iframe-43c85c0d-d633-af5e-c056-32dc7efc570b.html" enthält. Mit diesem "Magic Pattern" wird Webex in die Lage versetzt, eine Webex-Sitzung auf einem entfernten Rechner zu starten.

Nach Angaben von Ormandy kann dieses Kommando durch jede beliebige Webseite genutzt werden, um Sitzungen zu starten. Außerdem ermöglicht der Fehler die Ausführung eines beliebigen Codes. Der Angriff erfordert keine Nutzerinteraktion, der Code kann außerdem in einem iFrame versteckt werden, so dass der Benutzer davon nichts mitbekommt.

Patch nach zwei Tagen

Cisco hat die Sicherheitslücke nur zwei Tage nach der privaten Offenlegung durch Ormandy gepatcht. Nach Angaben des Sicherheitsforscher könnte der Patch aber unvollständig sein, weil Ciscos eigene Webseite webex.com weiterhin Sitzungen ohne Warnung starten kann. Würde diese Webseite zum Beispiel eine Schwachstelle für Cross-Site-Scripting (XSS) aufweisen, könnte ein Angreifer nach wie vor einen Code einschleusen. Nach Angaben von Cisco werden regelmäßig Audits und Zertifizierungen von Webex durchgeführt.

Außerdem, so schreibt der Sicherheitsforscher Filippo Valsorda, sei die durch den Patch eingeführte Warnmeldung nicht verständlich und schütze nicht vor einem bösartigen Angriff. Tatsächlich erscheint nur eine Warnung, die Nutzer auffordert, den Beginn einer Webex-Sitzung zu bestätigen. Als Vorsichtsmaßnahme schlägt Valsorda vor, in Chrome ein eigenes Profil nur für Webex anzulegen und die Erweiterung für den normalen Nutzer zu entfernen.

Nachtrag vom 25. Januar 2017, 10:07 Uhr

Cisco hat uns auf Anfrage folgendes Statement zukommen lassen: "Cisco untersucht gerade alle Aspekte der Schwachstelle in der Cisco WebEx Browser Extension Remote Code-Ausführung. Am 24. Januar 2017 haben wir eine Sicherheitsanweisung herausgegeben, um dieses Problem anzugehen. Wir haben bereits damit begonnen, mehrere Fixes für die betroffenen Versionen zu veröffentlichen und wir werden weiterhin zusätzliche Updates bereitstellen, sobald sie in den kommenden Tagen verfügbar sind." Aktuelle Entwicklungen werden im Security Advisory dokumentiert.



Anzeige
Top-Angebote
  1. 55€ + 1,99€ Versand
  2. (aktuell u. a. QPAD DX-5 Maus 9,99€, NZXT Kraken X62 AM4 ready, Wasserkühlung 139,90€)
  3. 5€ inkl. FSK-18-Versand
  4. 5€ inkl. FSK-18-Versand

TheSaint 24. Jan 2017

wird in dem Artikel von Filippo beschrieben. chrome://extensions/ aufrufen -> Developer...

egal 24. Jan 2017

Ob man diesem (amerikanischen) Unternehmen noch trauen mag, muss jeder für sich selbst...

hg (Golem.de) 24. Jan 2017

Oh, da bin ich wohl Mausgerutscht ;) Danke für den Hinweis, ist gefixt. VG,


Folgen Sie uns
       


Sony ZG9 angesehen (CES 2019)

Sony hat auf der CES 2019 mit dem ZG9 seinen ersten 8K-Fernseher vorgestellt.

Sony ZG9 angesehen (CES 2019) Video aufrufen
Datenleak: Die Fehler, die 0rbit überführten
Datenleak
Die Fehler, die 0rbit überführten

Er ließ sich bei einem Hack erwischen, vermischte seine Pseudonyme und redete zu viel - Johannes S. hinterließ viele Spuren. Trotzdem brauchte die Polizei offenbar einen Hinweisgeber, um ihn als mutmaßlichen Täter im Politiker-Hack zu überführen.

  1. Datenleak Bundestagsabgeordnete sind Zwei-Faktor-Muffel
  2. Datenleak Telekom und Politiker wollen härtere Strafen für Hacker
  3. Datenleak BSI soll Frühwarnsystem für Hackerangriffe aufbauen

Kaufberatung: Die richtige CPU und Grafikkarte
Kaufberatung
Die richtige CPU und Grafikkarte

Bei PC-Hardware gab es 2018 viele Neuerungen: AMD hat 32 CPU-Kerne etabliert, Intel verkauft immerhin acht Cores statt vier und Nvidias Turing-Grafikkarten folgten auf die zwei Jahre alten Pascal-Modelle. Wir beraten bei Komponenten und geben einen Ausblick auf die kommenden Monate.
Von Marc Sauter

  1. Fujian Jinhua USA verhängen Exportverbot gegen chinesischen DRAM-Fertiger
  2. Halbleiter China pumpt 47 Milliarden US-Dollar in eigene Chip-Industrie
  3. Dell Neue Optiplex-Systeme in drei Größen und mit Dual-GPUs

Geforce RTX 2060 im Test: Gute Karte zum gutem Preis mit Speicher-Aber
Geforce RTX 2060 im Test
Gute Karte zum gutem Preis mit Speicher-Aber

Mit der Geforce RTX 2060 hat Nvidia die bisher günstigste Grafikkarte mit Turing-Architektur veröffentlicht. Für 370 Euro erhalten Spieler genug Leistung für 1080p oder 1440p und sogar für Raytracing, bei vollen Schatten- oder Textur-Details wird es aber in seltenen Fällen ruckelig.
Ein Test von Marc Sauter

  1. Geforce RTX 2060 Founder's Edition kostet 370 Euro
  2. Turing-Architektur Nvidia stellt schnelle Geforce RTX für Notebooks vor
  3. Turing-Grafikkarte Nvidia plant Geforce RTX 2060

    •  /