Security: Hintertür in Ciscos VPN-Dienst wird weiter ausgenutzt

Eine seit einem Jahr bekannte Sicherheitslücke in einem VPN-Dienst von Cisco wird offenbar weiterhin ausgenutzt, weil nicht alle Systeme gepatcht sind. Sicherheitsforscher haben noch weitere Angriffe auf Cisco-Produkte vorgestellt, die mittels Javascript Nutzerdaten abgreifen.

Artikel veröffentlicht am 9. Oktober 2015, 12:09 Uhr, Hauke Gierow

Angreifer haben die Login-Seite von Ciscos-VPN-Diensten manipuliert, um Nutzerdaten abzugreifen. (Bild: Volexity)

Angreifer haben VPN-Software von Cisco infiziert, um Nutzerdaten abzugreifen. Informationen zu der Angriffsmethode hat jetzt die Sicherheitsfirma Volexity in einem Blogpost vorgestellt. Die angegriffene VPN-Software mit dem Namen Cisco Clientless SSL VPN benötigt, wie der Name schon sagt, keinen eigenen Client, sondern kann über ein Webinterface bedient werden. Sie ist Teil von Ciscos Adaptive-Security-Appliance-Suite und wird vor allem von großen Firmen eingesetzt.

Die Angreifer nutzen die Sicherheitslücke CVE-2014-3393 nach Angaben von Volexity bereits seit November 2014 aus. Die Lücke wurde zwar bereits im vergangenen Jahr von Cisco gepatcht, doch nicht alle angegriffenen Organisationen haben die Updates rechtzeitig eingespielt, obwohl Cisco schon im Februar 2015 vor aktiven Exploits gewarnt hat:

"Eine Sicherheitslücke im Anpassungs-Framework des Clientless-SSL-VPN-Portals kann einen nichtautorisierten Remote-Angreifer in die Lage versetzen, den Inhalt der Portal-Seite zu verändern. Dies könnte für Angriffe missbraucht werden, um Nutzerdaten zu stehlen, XSS-Angriffe durchzuführen oder andere Formen webbasierter Angriffe auf den Client ermöglichen, der das betroffene System nutzt."

Metasploit-Modul verfügbar

Unter dem Namen "Breaking Bricks" existiert auch ein von Alec Stuart entwickeltes Metasploit-Modul, um die Sicherheitslücke auszunutzen. Cisco hat Richtlinien veröffentlicht, um die Sicherheit von Firewall- und VPN-Produkten zu verbessern.

Angreifer veränderten nach Angaben von Volexity die Logon.html-Seite von Organisationen, die ihre Software nicht auf den neuesten Stand gebracht hatten. Sie luden mit der Login-Seite das Script 1.js, eine Variante von xss.js - ein Skript, um Nutzerdaten abzugreifen. Nach Angaben der Forscher bietet auch der Einsatz von Zwei-Faktor-Authentifizierung in diesem Fall keinen ausreichenden Schutz vor Angriffen.

Von dem vorgestellten Angriff betroffen waren nach Angaben von Volexity medizinische Organisationen, Thinktanks, NGOs, Universitäten und internationale Unternehmen. Volexity hat weitere Angriffe dokumentiert, unter anderem gegen die japanische Regierung und verschiedene Hightech-Industrien. In diesem Fall verfügten die Angreifer aber vermutlich bereits über administrative Zugänge, die es ihnen dann ermöglichten, Nutzerdaten abzugreifen.

Auch in diesen Fällen hätten Angreifer Java-Script-Module geladen, um verschiedene Angriffe durchzuführen. Als Beispiel zitieren die Forscher den Keylogger Scanbox und die Malware PlugX.

Die Sicherheitsforscher empfehlen Administratoren, stärker nach Sicherheitslücken in VPN-Diensten und Firewalls zu suchen. Erst vor wenigen Wochen war eine Malware bekanntgeworden, die Hintertüren in Cisco-Routern installiert. Sie betonen, dass ähnliche Angriffe nicht nur Cisco-Produkte betreffen. Andere VPN-Dienste und Webserver seien für Angreifer gleichermaßen interessant.