Cisco Webex’in Hataları İle Saldırganlar, Toplantılara “Hayalet Kulllanıcı” Olarak Katılabiliyor
Bu hata ile saldırganlar hayalet kullanıcılar olarak Webex toplantılarına katılabiliyor ve hatta atıldıktan sonra da odalarda kalabiliyor
Cisco, Webex video konferans uygulamasında saldırganların Webex toplantılarına diğer katılımcılar tarafından görünmeyen hayalet kullanıcılar olarak katılmalarına olanak tanıyan üç güvenlik açığını gidermeyi planlıyor.
Söz konusu güvenlik açığı bu yılın başlarında, teknoloji yazılım devinin koronavirüs pandemisi sırasında dahili olarak kullandığı uzaktan çalışma araçlarının bir incelemesini yapan IBM’in güvenlik araştırmacıları tarafından keşfedildi.
Araştırmacılar, üç hata bulduklarını, bu üç hatanın birleştirildiğinde ise bir saldırganın şunları yapmasına olanak vereceğini açıkladı:
- Katılımcı listesindeki diğer kişiler tarafından görünmeyen, ancak ses, video, sohbet ve ekran paylaşımına tam erişime sahip bir hayalet kullanıcı olarak bir Webex toplantısına katılabilmek.
- Bir Webex toplantısından çıkarıldıktan sonra bile, toplantının sesine ulaşabilen bir hayalet kullanıcı olarak toplantıda kalabilmek.
- Tam adlar, e-posta adresleri ve IP adresleri gibi toplantı katılımcıları hakkında bilgi edinebilmek. Bu bilgiler, saldırgan bir çağrıya kabul edilmesine gerek kalmadan, toplantı odası lobisinden bile elde edilebiliyor.
IBM araştırmacıları, hataların yeni Webex toplantıları kurulduğunda gerçekleşen “el sıkışma” sürecinde olduğunu belirtti.
Bir toplantı URL’sine erişim elde eden saldırganlar, bir Webex sunucusuna bağlanabilir, hatalı biçimlendirilmiş paketler gönderebilir, toplantılara ve katılımcıların ayrıntılarına erişim elde etmesi için sunucuyu manipüle edebilir.
IBM araştırmacıları söz konusu açık için ayrıca şu açıklamayı yaptı:
“Analizimizde, kullanıcıları katılımcıların panelinde görünmez hale getirmek için el sıkışma sürecinde manipüle edilebilecek müşteri bilgilerinin değerlerini belirledik. MacOS, Windows ve Webex Meetings uygulamalarının iOS sürümünde ve Webex Room Kit cihazında hayalet katılımcı sorununu gözlemledik.”
Saldırganlar bu açıktan yalnızca, benzersiz toplantı URL’leri ve Webex Kişisel Toplantı Odaları ile planlanmış Webex toplantılarının URL’lerini bilmeleri durumunda yararlanabiliyor.
Ancak IBM araştırmacıları, “kişisel odalardan yararlanmanın daha kolay olabileceğini, çünkü bunlar genellikle oda sahibinin adı ve kuruluş adının tahmin edilebilir bir kombinasyonuna dayandığını” söylüyor.
Cisco, IBM ekibi tarafından bildirilen CVE-2020-3441, CVE-2020-3471 ve CVE-2020-3419 adlı üç Webex güvenlik açığı için bugün gereken yamaları yayınlayacak.
Cisco Webex uygulaması da Zoom ile birlikte pandemi sürecinde üst düzey rağbet gören uygulamalardan biri oldu. Cisco, Webex kullanımının bu yıl %451 arttığını açıkladı. Webex yaklaşık 324 milyon katılımcının olduğu 4 milyon toplantı ile bir günde eriştiği en yüksek toplantı sayısına ulaşmıştı.
IBM, ekibinin çalışmalarını özetleyen bir videoyu da geçtiğimiz günlerde Youtube üzerinden yayınlamıştı:
