Abo
  • Services:

Cisco: Noch immer Sicherheitslücken in Webex

An vier verschiedenen Punkten soll ein Angreifer immer noch Schadcode über Ciscos Konferenzsoftware Webex ausführen können. Google-Mitarbeiter Travis Ormandy spricht von mehr als 20 Millionen betroffenen Nutzern - Cisco arbeitet an einer Lösung.

Artikel veröffentlicht am ,
Webex hat noch immer kritische Sicherheitslücken.
Webex hat noch immer kritische Sicherheitslücken. (Bild: Cisco/Montage: Golem.de)

Der Netzwerkhersteller Cisco hat offenbar noch immer Probleme mit seiner Konferenzsoftware Webex. Gleich vier Sicherheitslücken ermöglichen Angreifern, Schadcode auszuführen. Diese wurden wieder von Travis Ormandy und Cris Neckar von Google Project Zero entdeckt und mit Codebeispielen belegt. Er hatte bereits im Januar 2017 auf Sicherheitslücken in der verbreiteten Software hingewiesen. Mehr als 20 Millionen Nutzer verwendeten sie in Google Chrome, heißt es. Firefox und Microsoft Edge seien höchstwahrscheinlich auch betroffen.

Stellenmarkt
  1. ABB AG, Ladenburg
  2. PROTAKT Projekte & Business Software AG, Bad Nauheim

Der Code habe sich mittlerweile zumindest verändert. Das Verhalten des JSON-Parsers wurde angepasst. Cisco scheint demnach dem Problem im Januar nachgegangen zu sein. Das Problem ist laut Ormandy, dass die Bibliothek atgpcext einen JSON-Parser mit eigener Namenskonvention für Eigenschaften verwendet, so dass Chrome und Webex Objekte unterschiedlich interpretieren. Das ermöglicht Angreifern, JSON-Objekte, die böswilligen Javascript-Code enthalten, in das System einzuschleusen.

Ormandy gibt ein Beispiel an: Das Objekt "object={"foo":1, "foo\0":2}" sieht Chrome mit dem Ergebnis 1, die atgpcext-Bibliothek nimmt den zweiten Parameter und sieht eine 2.

Ein zweites Problem sieht Ormandy in der GPCscript-Verifikation in Webex. Diese ist unvollständig und ermöglicht daher Calls von beliebigen exportierten Routinen aus beliebigen Bibliotheken. Der Call "_wsystem(calc)=WebEx_Exploit;" komme durch die Funktion, die so etwas eigentlich filtern solle, meint Ormandy. Außerdem können Parameter in einigen erlaubten Routinen mit Schadcode übergeben werden.

Cisco verteilt bereits Updates

Diese Fehler allein seien bereits so schwerwiegend, dass wie im Januar beliebiger Schadcode ausgeführt werden kann. Ormandy bezeichnet sämtliche Fixes jedoch als sinnlos, da es einen weiteren schwerwiegenden Fehler gibt. Das System soll sich einfach auf eine ältere Version zurückrollen lassen, da deren alte Signaturen noch immer gültig sind.

In einer Antwort auf den Post meldete sich Cisco zu Wort. Das Unternehmen bedankte sich für den detaillierten Report und teilte mit, es arbeite an einer Lösung des Problems. Ab dem 17. Juli sollen Updates für Webex verteilt werden.



Anzeige
Top-Angebote
  1. (94,90€ + Versand und mit Sichtfenster für 109,90€ + Versand)
  2. (u. a. The Crew 2 für 39,99€, Tom Clancy's Ghost Recon Wildlands für 16,99€ und Rayman 3 für...
  3. 99,99€ + USK-18-Versand
  4. 59,99€

Badevil 19. Jul 2017

WebEx ist eine gute Sache, es funktioniert unabhängig der Plattform (Win/Linux/Mac) und...


Folgen Sie uns
       


Sky Ticket TV-Stick im Test

Wir haben den Sky Ticket TV Stick getestet. Der Streamingstick mit Fernbedienung bringt Sky Ticket auf den Fernseher, wenn dieser den Streamingdienst des Pay-TV-Anbieters nicht unterstützt. Auf dem Stick läuft das aktuelle Sky Ticket, das im Vergleich zur Vorgängerversion erheblich verbessert wurde. Den Sky Ticket TV gibt es quasi kostenlos, weil dieser nur zusammen mit passenden Sky-Ticket-Abos im Wert von 30 Euro angeboten wird.

Sky Ticket TV-Stick im Test Video aufrufen
Zukunft der Arbeit: Was Automatisierung mit dem Grundeinkommen zu tun hat
Zukunft der Arbeit
Was Automatisierung mit dem Grundeinkommen zu tun hat

Millionen verlieren ihren Job, aber die Gesellschaft gewinnt dabei trotzdem: So stellen sich die Verfechter des bedingungslosen Grundeinkommens die Zukunft vor. Wie soll das gehen?
Eine Analyse von Daniel Hautmann

  1. Verbraucherschutzminister Kritik an eingeschränktem Widerspruchsrecht im Online-Handel
  2. Bundesfinanzminister Scholz warnt vor Schnellschüssen bei Digitalsteuer
  3. Sommerzeit EU-Kommission will die Zeitumstellung abschaffen

SpaceX: Milliardär will Künstler mit zum Mond nehmen
SpaceX
Milliardär will Künstler mit zum Mond nehmen

Ein japanischer Milliardär ist der mysteriöse erste Kunde von SpaceX, der um den Mond fliegen will. Er will eine Gruppe von Künstlern zu dem Flug einladen. Die Pläne für das Raumschiff stehen kurz vor der Fertigstellung.
Von Frank Wunderlich-Pfeiffer

  1. Mondwettbewerb Niemand gewinnt den Google Lunar X-Prize

iOS 12 im Test: Auch Apple will es Nutzern leichter machen
iOS 12 im Test
Auch Apple will es Nutzern leichter machen

Apple setzt mit iOS 12 weniger auf aufsehenerregende Funktionen als auf viele kleine Verbesserungen für den Alltag. Das erinnert an Google und Android 9, was nicht zwingend schlecht ist.
Ein Test von Tobias Költzsch

  1. Apple iOS 12.1 verrät neues iPad Pro
  2. Apple Siri-Kurzbefehle-App für iOS 12 verfügbar

    •  /