Neue Schwachstelle (CVE-2019-1674) in Cisco WebEx Meetings

In Cisco WebEx Meetings wurde eine neue Elevation of Privilege-Schwachstelle in der Windows-App gefunden, die einem Angreifer ermöglicht, Befehle mit Systemrechten auszuführen.

Cisco WebEx Meetings ist eine Web-basierende Lösung für Videokonferenzen und Online-Besprechungen. Neben der Übertragung von Audio- und Videodaten zwischen den Konferenzteilnehmern ist auch eine Bildschirmfreigabe möglich. Allerdings fällt diese Lösung immer wieder durch gravierende Schwachstellen auf, die letzte gab es im Dezember 2018 (siehe Privileg Escalation-Schwachstelle in Cisco WebEx Meetings).

Die Schwachstelle CVE-2019-1674 betrifft alle Cisco Webex Meetings Desktop App-Versionen zwischen 33.6.4.15 und 33.8.2.7. Vermutlich sind auch frühere Versionen von diesem Sicherheitsproblem betroffen sind, wurden aber nicht überprüft. Die Sicherheitslücke wurde von SecureAuth-Forschern gefunden.

Die OS Command Injection-Schwachstelle, die die Forscher als  "bypass to avoid the new controls" beschreiben, entstand, als Cisco-Entwickler ein zuvor gefundenes DLL-Hijacking-Problem (CVE-2018-15442) in derselben Anwendung gepatcht haben. Ursache für die Schwachstelle CVE-2019-1674 ist die Unfähigkeit des Aktualisierungsdienstes der Cisco Webex Meetings Desktop App, die Versionsnummern neuer Dateien ordnungsgemäß zu überprüfen".

So könnte ein unprivilegierter lokaler Angreifer diese Schwachstelle ausnutzen, indem er den Befehl update service mit einem manuell präparierten "Argument und Ordner aufruft." Dazu schreiben die Forscher in diesem Dokument:

The vulnerability can be exploited by copying to a local attacker controller folder, the atgpcdec.dll binary and rename it as atgpcdec.7z. Then, a previous version of the ptUpdate.exe file must be compressed as 7z and copied to the controller folder. Also, a malicious dll must be placed in the same folder, named vcruntime140.dll and compressed as vcruntime140.7z. Finally, a ptUpdate.xml file must be provided in the controller folder for the update binary (ptUpdate.exe) to treat our files as a normal update. To gain privileges, the attacker must start the service with the command line: sc start webexservice WebexService 1 989898 "attacker-controlled-path"

Während die Schwachstelle CVE-2019-1674 nur lokal ausgenutzt werden kann, sollten sich Administratoren darüber im Klaren sein, dass die Schwachstelle in Active Directory-Umgebungen durch den Einsatz der Remote-Management-Tools des Betriebssystems aus der Ferne ausgenutzt werden kann".

Die Schwachstelle wurde Anfang Dezember 2018 an Cisco gemeldet. Cisco hat vor wenigen Stunden ein Security Advisory und einen Fix bereitgestellt. (via)