Abo
  • Services:

Security: Hintertür in Ciscos VPN-Dienst wird weiter ausgenutzt

Eine seit einem Jahr bekannte Sicherheitslücke in einem VPN-Dienst von Cisco wird offenbar weiterhin ausgenutzt, weil nicht alle Systeme gepatcht sind. Sicherheitsforscher haben noch weitere Angriffe auf Cisco-Produkte vorgestellt, die mittels Javascript Nutzerdaten abgreifen.

Artikel veröffentlicht am ,
Angreifer haben die Login-Seite von Ciscos-VPN-Diensten manipuliert, um Nutzerdaten abzugreifen.
Angreifer haben die Login-Seite von Ciscos-VPN-Diensten manipuliert, um Nutzerdaten abzugreifen. (Bild: Volexity)

Angreifer haben VPN-Software von Cisco infiziert, um Nutzerdaten abzugreifen. Informationen zu der Angriffsmethode hat jetzt die Sicherheitsfirma Volexity in einem Blogpost vorgestellt. Die angegriffene VPN-Software mit dem Namen Cisco Clientless SSL VPN benötigt, wie der Name schon sagt, keinen eigenen Client, sondern kann über ein Webinterface bedient werden. Sie ist Teil von Ciscos Adaptive-Security-Appliance-Suite und wird vor allem von großen Firmen eingesetzt.

Stellenmarkt
  1. Dataport, Altenholz bei Kiel, Hamburg
  2. Atlas Copco IAS GmbH, Bretten

Die Angreifer nutzen die Sicherheitslücke CVE-2014-3393 nach Angaben von Volexity bereits seit November 2014 aus. Die Lücke wurde zwar bereits im vergangenen Jahr von Cisco gepatcht, doch nicht alle angegriffenen Organisationen haben die Updates rechtzeitig eingespielt, obwohl Cisco schon im Februar 2015 vor aktiven Exploits gewarnt hat:

"Eine Sicherheitslücke im Anpassungs-Framework des Clientless-SSL-VPN-Portals kann einen nichtautorisierten Remote-Angreifer in die Lage versetzen, den Inhalt der Portal-Seite zu verändern. Dies könnte für Angriffe missbraucht werden, um Nutzerdaten zu stehlen, XSS-Angriffe durchzuführen oder andere Formen webbasierter Angriffe auf den Client ermöglichen, der das betroffene System nutzt."

Metasploit-Modul verfügbar

Unter dem Namen "Breaking Bricks" existiert auch ein von Alec Stuart entwickeltes Metasploit-Modul, um die Sicherheitslücke auszunutzen. Cisco hat Richtlinien veröffentlicht, um die Sicherheit von Firewall- und VPN-Produkten zu verbessern.

Angreifer veränderten nach Angaben von Volexity die Logon.html-Seite von Organisationen, die ihre Software nicht auf den neuesten Stand gebracht hatten. Sie luden mit der Login-Seite das Script 1.js, eine Variante von xss.js - ein Skript, um Nutzerdaten abzugreifen. Nach Angaben der Forscher bietet auch der Einsatz von Zwei-Faktor-Authentifizierung in diesem Fall keinen ausreichenden Schutz vor Angriffen.

Von dem vorgestellten Angriff betroffen waren nach Angaben von Volexity medizinische Organisationen, Thinktanks, NGOs, Universitäten und internationale Unternehmen. Volexity hat weitere Angriffe dokumentiert, unter anderem gegen die japanische Regierung und verschiedene Hightech-Industrien. In diesem Fall verfügten die Angreifer aber vermutlich bereits über administrative Zugänge, die es ihnen dann ermöglichten, Nutzerdaten abzugreifen.

Auch in diesen Fällen hätten Angreifer Java-Script-Module geladen, um verschiedene Angriffe durchzuführen. Als Beispiel zitieren die Forscher den Keylogger Scanbox und die Malware PlugX.

Die Sicherheitsforscher empfehlen Administratoren, stärker nach Sicherheitslücken in VPN-Diensten und Firewalls zu suchen. Erst vor wenigen Wochen war eine Malware bekanntgeworden, die Hintertüren in Cisco-Routern installiert. Sie betonen, dass ähnliche Angriffe nicht nur Cisco-Produkte betreffen. Andere VPN-Dienste und Webserver seien für Angreifer gleichermaßen interessant.



Anzeige
Spiele-Angebote
  1. (-70%) 8,99€
  2. (-80%) 6,99€
  3. 46,99€
  4. 20,99€ - Release 07.11.

Neuro-Chef 10. Okt 2015

Was ich gelesen habe, war nicht klar und deutlich auf den Punkt gebracht.

Jasmin26 09. Okt 2015

ciscos wird eigentlich im primär professionelen Umfeld eingesetzt .....


Folgen Sie uns
       


Pocophone F1 - Test

Das Pocophone F1 gehört zu den günstigsten Topsmartphones auf dem Markt - nur 330 Euro müssen Käufer für das Gerät bezahlen. Dafür bekommen sie eine Dualkamera und einen Snapdragon 845. Wer mit ein paar Kompromissen leben kann, macht mit dem Smartphone nichts falsch.

Pocophone F1 - Test Video aufrufen
Pixel 3 XL im Test: Algorithmen können nicht alles
Pixel 3 XL im Test
Algorithmen können nicht alles

Google setzt beim Pixel 3 XL alles auf die Kamera, die dank neuer Algorithmen nicht nur automatisch blinzlerfreie Bilder ermitteln, sondern auch einen besonders scharfen Digitalzoom haben soll. Im Test haben wir allerdings festgestellt, dass auch die beste Software keine Dual- oder Dreifachkamera ersetzen kann.
Ein Test von Tobias Költzsch

  1. Dragonfly Google schweigt zu China-Plänen
  2. Nach Milliardenstrafe Google will Android-Verträge offenbar anpassen
  3. Google Android Studio 3.2 unterstützt Android 9 und App Bundles

Galaxy A9 im Hands on: Samsung bietet vier
Galaxy A9 im Hands on
Samsung bietet vier

Samsung erhöht die Anzahl der Kameras bei seinen Smartphones weiter: Das Galaxy A9 hat derer vier, zudem ist auch die restliche Ausstattung nicht schlecht. Aus verkaufspsychologischer Sicht könnte die Einstufung in die A-Mittelklasse bei einem Preis von 600 Euro ein Problem sein.
Ein Hands on von Tobias Költzsch

  1. Auftragsfertiger Samsung startet 7LPP-Herstellung mit EUV
  2. Galaxy A9 Samsung stellt Smartphone mit vier Hauptkameras vor
  3. Galaxy J4+ und J6+ Samsung stellt neue Smartphones im Einsteigerbereich vor

Neuer Kindle Paperwhite im Hands On: Amazons wasserdichter E-Book-Reader mit planem Display
Neuer Kindle Paperwhite im Hands On
Amazons wasserdichter E-Book-Reader mit planem Display

Amazon bringt einen neuen Kindle Paperwhite auf den Markt und verbessert viel. Der E-Book-Reader steckt in einem wasserdichten Gehäuse, hat eine plane Displayseite, mehr Speicher und wir können damit Audible-Hörbücher hören. Noch nie gab es so viel Kindle-Leistung für so wenig Geld.
Ein Hands on von Ingo Pakalski


      •  /