Blog

ClickShare-Sicherheitslücken wurden zwar gepatcht, verbergen aber ein viel größeres Problem

Matias Madou, Ph.D.
Veröffentlicht am 28. September 2020

Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.

Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.

Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.

Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.

"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."

Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.

Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.

Die Wurzel des Problems

Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).

Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.

Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.

Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.

Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.

In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.

Der sichere Weg nach vorn

Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.

Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.

Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.

Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?

Spielen Sie diese gamifizierten Herausforderungen auf:

Ressource anzeigen
Ressource anzeigen

Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools nicht nur überraschend komplex, sondern auch mit allem anderen vernetzt sind.

Interessiert an mehr?

Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.

Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.

Demo buchen
Weitergeben:
Autor
Matias Madou, Ph.D.
Veröffentlicht am 28. September 2020

Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.

Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.

Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.

Weitergeben:

Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.

Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.

Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.

Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.

"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."

Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.

Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.

Die Wurzel des Problems

Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).

Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.

Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.

Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.

Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.

In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.

Der sichere Weg nach vorn

Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.

Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.

Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.

Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?

Spielen Sie diese gamifizierten Herausforderungen auf:

Ressource anzeigen
Ressource anzeigen

Füllen Sie das folgende Formular aus, um den Bericht herunterzuladen

Wir bitten Sie um Ihre Erlaubnis, Ihnen Informationen über unsere Produkte und/oder verwandte Themen der sicheren Codierung zuzusenden. Wir werden Ihre persönlichen Daten immer mit äußerster Sorgfalt behandeln und sie niemals zu Marketingzwecken an andere Unternehmen verkaufen.

Senden
Um das Formular abzuschicken, aktivieren Sie bitte "Analytics"-Cookies. Sie können die Cookies wieder deaktivieren, sobald Sie fertig sind.

Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.

Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.

Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.

Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.

"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."

Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.

Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.

Die Wurzel des Problems

Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).

Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.

Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.

Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.

Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.

In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.

Der sichere Weg nach vorn

Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.

Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.

Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.

Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?

Spielen Sie diese gamifizierten Herausforderungen auf:

Auf Ressource zugreifen

Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.

Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.

Bericht ansehenDemo buchen
PDF herunterladen
Ressource anzeigen
Weitergeben:
Interessiert an mehr?

Weitergeben:
Autor
Matias Madou, Ph.D.
Veröffentlicht am 28. September 2020

Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.

Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.

Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.

Weitergeben:

Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.

Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.

Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.

Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.

"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."

Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.

Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.

Die Wurzel des Problems

Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).

Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.

Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.

Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.

Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.

In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.

Der sichere Weg nach vorn

Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.

Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.

Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.

Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?

Spielen Sie diese gamifizierten Herausforderungen auf:

Inhaltsübersicht

PDF herunterladen
Ressource anzeigen
Interessiert an mehr?

Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.

Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.

Demo buchenHerunterladen
Weitergeben:
Ressourcendrehscheibe

Ressourcen für den Einstieg

Mehr Beiträge
Ressourcendrehscheibe

Ressourcen für den Einstieg

Mehr Beiträge