Cisco: Noch immer Sicherheitslücken in Webex

An vier verschiedenen Punkten soll ein Angreifer immer noch Schadcode über Ciscos Konferenzsoftware Webex ausführen können. Google-Mitarbeiter Travis Ormandy spricht von mehr als 20 Millionen betroffenen Nutzern - Cisco arbeitet an einer Lösung.

Artikel veröffentlicht am ,
Webex hat noch immer kritische Sicherheitslücken.
Webex hat noch immer kritische Sicherheitslücken. (Bild: Cisco/Montage: Golem.de)

Der Netzwerkhersteller Cisco hat offenbar noch immer Probleme mit seiner Konferenzsoftware Webex. Gleich vier Sicherheitslücken ermöglichen Angreifern, Schadcode auszuführen. Diese wurden wieder von Travis Ormandy und Cris Neckar von Google Project Zero entdeckt und mit Codebeispielen belegt. Er hatte bereits im Januar 2017 auf Sicherheitslücken in der verbreiteten Software hingewiesen. Mehr als 20 Millionen Nutzer verwendeten sie in Google Chrome, heißt es. Firefox und Microsoft Edge seien höchstwahrscheinlich auch betroffen.

Stellenmarkt
  1. Softwareentwickler:in Kfz-Versicherung
    HUK-COBURG Versicherungsgruppe, Coburg
  2. Softwareentwickler Backend (m/w/d)
    eLearning Manufaktur GmbH, Kleve, Düsseldorf (Home-Office möglich)
Detailsuche

Der Code habe sich mittlerweile zumindest verändert. Das Verhalten des JSON-Parsers wurde angepasst. Cisco scheint demnach dem Problem im Januar nachgegangen zu sein. Das Problem ist laut Ormandy, dass die Bibliothek atgpcext einen JSON-Parser mit eigener Namenskonvention für Eigenschaften verwendet, so dass Chrome und Webex Objekte unterschiedlich interpretieren. Das ermöglicht Angreifern, JSON-Objekte, die böswilligen Javascript-Code enthalten, in das System einzuschleusen.

Ormandy gibt ein Beispiel an: Das Objekt "object={"foo":1, "foo\0":2}" sieht Chrome mit dem Ergebnis 1, die atgpcext-Bibliothek nimmt den zweiten Parameter und sieht eine 2.

Ein zweites Problem sieht Ormandy in der GPCscript-Verifikation in Webex. Diese ist unvollständig und ermöglicht daher Calls von beliebigen exportierten Routinen aus beliebigen Bibliotheken. Der Call "_wsystem(calc)=WebEx_Exploit;" komme durch die Funktion, die so etwas eigentlich filtern solle, meint Ormandy. Außerdem können Parameter in einigen erlaubten Routinen mit Schadcode übergeben werden.

Cisco verteilt bereits Updates

Golem Akademie
  1. Webentwicklung mit React and Typescript
    20.-24. September 2021, online
  2. IT-Sicherheit für Webentwickler
    5.-6. Juli 2021, online
Weitere IT-Trainings

Diese Fehler allein seien bereits so schwerwiegend, dass wie im Januar beliebiger Schadcode ausgeführt werden kann. Ormandy bezeichnet sämtliche Fixes jedoch als sinnlos, da es einen weiteren schwerwiegenden Fehler gibt. Das System soll sich einfach auf eine ältere Version zurückrollen lassen, da deren alte Signaturen noch immer gültig sind.

In einer Antwort auf den Post meldete sich Cisco zu Wort. Das Unternehmen bedankte sich für den detaillierten Report und teilte mit, es arbeite an einer Lösung des Problems. Ab dem 17. Juli sollen Updates für Webex verteilt werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Lego Builder's Journey im Test
Knuffige Klötzchen knobeln

Zwei Figuren und viele Welten: Lego Builder's Journey erzählt die Geschichte einer Reise - und sieht mit Raytracing verblüffend real aus.
Ein Test von Marc Sauter

Lego Builder's Journey im Test: Knuffige Klötzchen knobeln
Artikel
  1. Forscher: Legalisierung von Online-Casinos birgt Suchtgefahren
    Forscher
    Legalisierung von Online-Casinos birgt Suchtgefahren

    Am 1. Juli legalisiert der Glücksspiel-Staatsvertrag Online-Spielbanken in Deutschland. Forscher warnen vor den Suchtgefahren.

  2. E-Bike: Super73 bringt günstigeres Elektrofahrrad nach Deutschland
    E-Bike
    Super73 bringt günstigeres Elektrofahrrad nach Deutschland

    Das Super73 ZX ist ein E-Bike im Lowrider-Design für 2.500 Euro. Als versicherungsfreies Pedelec dürfte das Rad in Deutschland aber nicht gelten.

  3. Anti-Virus: John McAfee tot im Gefängnis aufgefunden
    Anti-Virus
    John McAfee tot im Gefängnis aufgefunden

    John McAfee ist tot in einer Gefängniszelle gefunden worden. Ihm drohte eine Auslieferung von Spanien in die USA.

Badevil 19. Jul 2017

WebEx ist eine gute Sache, es funktioniert unabhängig der Plattform (Win/Linux/Mac) und...


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Mega-Wiedereröffnung bei MediaMarkt - bis zu 30 Prozent Rabatt • Gigabyte M27Q 27" WQHD 170Hz 338,39€ • Dualsense Midnight Black + Ratchet & Clank Rift Apart 99,99€ • Samsung SSD 980 Pro PCIe 4.0 1TB 166,59€ • 6 Blu-rays für 30€ [Werbung]
    •  /