The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  вход/выход  слежка  RSS
"В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +/
Сообщение от opennews (??) on 24-Янв-17, 09:49 
В браузерном дополнении, устанавливаемом при использовании платформы для проведения web-конференций Cisco WebEx (https://www.webex.com), выявлена (https://bugs.chromium.org/p/project-zero/issues/detail?id=1096) показательная уязвимость, позволяющая при открытии в браузере специально оформленной страницы выполнить код на уровне операционной системы с правами текущего пользователя. Платформа WebEx получила большое распространение в корпоративной среде и насчитывает более 20 млн пользователей.


Уязвимость вызвана наличием предопределённого идентификатора, позволяющего передать дополнению команды. В частности, команды можно передать через запрос специально оформленно страницы, обращение к которой может быть скрыто от пользователя путем применения блоков iframe. Так как  дополнение реализовано в виде надстройки над нативным кодом, вызываемым при помощи API nativeMessaging (https://developer.chrome.com/extensions/nativeMessaging), атакущие могут добиться выполнения вызовов nativeMessaging от имени дополнения и организовать выполнение произвольного кода на уровне системы.


Эксплоит (https://bugs.chromium.org/p/project-zero/issues/attachmentTe...) достаточно прост и сводится к выполнению передачи сообщения WebEx с любой страницы, названной
"cwcsf-nativemsg-iframe-43c85c0d-d633-af5e-c056-32dc7efc570b.html" (название принципиально, так как является идентификатором, позволяющим выполнить действия на стороне дополнения). Для выполнения кода используется команда GpcInitCall, позволяющая вызвать функцию из нативного компонента. Например, в подготовленном для платформы Windows эксплоите осуществляется обращение к библиотеке "MSVCR100.DLL" и вызов функции "_wsystem()". В качестве примера приведён запуск калькулятора после открытия в браузере подготовленной атакующими  web-страницы.

В дополнении подобная функциональность используется для передачи события "launch_meeting", в результате которого управление передаётся установленному в систему коммуникационному клиенту WebEx (разделяемая библиотека "atmccli"). Передаваемые в составе события "launch_meeting" команды вызывают обработчики, реализованные в виде функций, экспортируемых библиотекой "atmccli". Так как имя библиотеки и команда передаётся в составе запроса, атакующий имеет возможность вместо "atmccli" указать любую системную библиотеку, а вместо команды - любую экспортируемую этой библиотекой функцию. Подобные возможности оставались бы особенностью внутреннего кода дополнения, если бы не наличие скрытого идентификатора, позволяющего передавать команды с внешних ресурсов.

   var msg = {
       ...
       GpcComponentName: btoa("MSVCR100.DLL"),
       GpcInitCall: btoa("_wsystem(ExploitShellCommand);"),
       ExploitShellCommand: btoa("calc.exe"),
   }

   document.dispatchEvent(new CustomEvent("connect", { detail: { token: "token" }}));
       document.dispatchEvent(new CustomEvent("message", { detail: {
            message: JSON.stringify(msg),
            message_type: "launch_meeting",
            timestamp: (new Date()).toUTCString(),
            token: "token"
        }
    }));

Разработчики Firefox уже добавили (https://bugzilla.mozilla.org/show_bug.cgi?id=1333225) дополнение WebEx Extension (https://addons.mozilla.org/en-US/firefox/blocked/i1522) в черный список. Дополнение также временно ххhttps://chrome.google.com/webstore/detail/cisco-webex-extens.../ заблокировано]] в Chrome web store. Компания Cisco подготовила исправление (обновление дополнения пока не опубликовано), но оно не блокирует скрытый идентификатор, а ограничивает возможность выполнения запросов с сайтов  *.webex.com и *.webex.com.cn при обязательном применении HTTPS. Ряд разработчиков Chromium не согласились с таким исправлением, так как по сути владельцам сайта webex.com оставлена возможность выполнения любого кода на стороне системы пользователя и возникают вопросы о возможности осуществления  XSS-атак.


URL: https://news.ycombinator.com/item?id=13466187
Новость: http://www.opennet.ru/opennews/art.shtml?num=45904

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +5 +/
Сообщение от Аноним (??) on 24-Янв-17, 09:49 
Т.е. сиско просто сузила круг тех, кто может юзать эксплойт?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +3 +/
Сообщение от kai3341 (ok) on 24-Янв-17, 09:58 
неа, не сузила
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

18. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +1 +/
Сообщение от Аноним (??) on 24-Янв-17, 22:25 
, а просто расширила "круг" тем, кто может юзать эксплоит.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

3. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +/
Сообщение от Аноним (??) on 24-Янв-17, 10:33 
Ждём citrix :)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +4 +/
Сообщение от Hellraiser email(??) on 24-Янв-17, 10:37 
а кто сказал, что это уязвимость? может это API для управления девайсом :D
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +7 +/
Сообщение от МимоМаккузик on 24-Янв-17, 10:40 
О Святой Билл и Милинда,зачем было добавлять функционал позволяющий что-либо запускать с помощью JS?
Если ружье висит, то рано или поздно из него шмальнут.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +2 +/
Сообщение от kai3341 (ok) on 24-Янв-17, 10:59 
Кстати про ружьё: [https://habrahabr.ru/company/dsec/blog/278549/]
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

10. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +4 +/
Сообщение от Аноним (??) on 24-Янв-17, 12:54 
У сиски ещё anydisconnect-vpn есть. Такой же троян. Эта хрень на моей линукс-машине говорит о том, что у меня нет антивируса, потому подключатся не будет. Я тогда на vpnc сразу перешёл.
Вот это весь смысл кровавого ЪЫнтырпрайза. Намутить такое shitware, что клиент сможет воспользоваться только свободными аналогами, если они есть. Кстати, я был у них в роли внутреннего клиента.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +1 +/
Сообщение от Аноним (??) on 24-Янв-17, 15:06 
ынтерпрайзненько, однако
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

12. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +3 +/
Сообщение от Аноним (??) on 24-Янв-17, 15:46 
Цена вашему cisco д...мо. Дорого, с троянами, избыточно и с понтами дешевыми. А их коррупция в контексте уровней партнерства просто зашкаливает.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

13. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  –6 +/
Сообщение от Cisco CEO on 24-Янв-17, 15:58 
Звучит как плач неудачника, которого не взяли на работу. Можешь пояснить по поводу коррупции?
Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

15. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +1 +/
Сообщение от cmp (ok) on 24-Янв-17, 16:23 
Откаты, чтож еще, хотя циска и прочие европеоиды вынужденны блюсти западное законодательство, а вот хуавеи не брезгуют ничем, поэтому циска массово выпиливается, а хуавей запиливается.
Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

17. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  –2 +/
Сообщение от Аноним (??) on 24-Янв-17, 20:07 
>хуавей запиливается

Сразу видно админов локалхоста. Давай, расскажи нам, как ты 10.0.0.0/24 руками на хуавее админишь.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

19. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +1 +/
Сообщение от й on 25-Янв-17, 03:32 
ну, в билайне хуавей, например, лет десять назад ставился в порядке унификации (они к тому времени какое-то время как занялись домашним интернетом: накупили провайдеров и охренели с зоопарка)
Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

20. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +1 +/
Сообщение от cmp (ok) on 25-Янв-17, 07:23 
Ну же не томи, кто же на цисках сидит такой крупный, что билайн, мегафон, мтс и ростелеком со своими хуавеями отсасывают в сторонке.

http://www.rbc.ru/technology_and_media/05/10/2016/57f516329a...
http://rusouts.ru/raznoe/autsorsing-i-mts.html

почитай, дурачек

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

16. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +2 +/
Сообщение от др. аноним on 24-Янв-17, 16:24 
> Звучит как плач неудачника, которого не взяли на работу. Можешь пояснить по
> поводу коррупции?

а значит по другим пунктам вопросов нет?? 8(
:))))))))))

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

21. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +/
Сообщение от cat666 (ok) on 30-Янв-17, 18:51 
Общался я с некоторыми "удачниками", сертифицированными специалистами Cisco, был потрясён их не знанием элементарных вещей связанных с маршрутизацией. Дорого, плохо масштабируемо, выходит из строя так же как и всё остальное! Намазывайте это *авно на ваш бутерброд и дальше.
Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

14. "В браузерном дополнении Cisco WebEx выявлен URL, позволяющий..."  +1 +/
Сообщение от Аноним (??) on 24-Янв-17, 16:18 
очередная фича для удаленного "админинга"? :) да давно всё понятно про виндовз, циско и иже с ними... комичны, конечно, камменты под подомными новостями от пользователей типа Cisco CEO... какой-то цирк шапито... уж ради приличия бы молчали...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру