ClickShare-Sicherheitslücken wurden zwar gepatcht, verbergen aber ein viel größeres Problem

Veröffentlicht am 28. September 2020
von Matias Madou, Ph.D.
FALLSTUDIE

ClickShare-Sicherheitslücken wurden zwar gepatcht, verbergen aber ein viel größeres Problem

Veröffentlicht am 28. September 2020
von Matias Madou, Ph.D.
Ressource anzeigen
Ressource anzeigen

Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.

Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.

Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.

Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.

"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."

Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.

Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.

Die Wurzel des Problems

Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).

Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.

Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.

Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.

Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.

In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.

Der sichere Weg nach vorn

Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.

Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.

Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.

Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?

Spielen Sie diese gamifizierten Herausforderungen auf:

Ressource anzeigen
Ressource anzeigen

Autor

Matias Madou, Ph.D.

Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.

Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.

Sie wollen mehr?

Tauchen Sie ein in unsere neuesten Erkenntnisse über sichere Kodierung im Blog.

Unsere umfangreiche Ressourcenbibliothek zielt darauf ab, die menschliche Herangehensweise an eine sichere Weiterbildung im Bereich der Programmierung zu stärken.

Blog ansehen
Sie wollen mehr?

Holen Sie sich die neuesten Forschungsergebnisse zur entwicklergesteuerten Sicherheit

Unsere umfangreiche Ressourcenbibliothek ist voll von hilfreichen Ressourcen, von Whitepapers bis hin zu Webinaren, die Ihnen den Einstieg in die entwicklungsorientierte sichere Programmierung erleichtern. Erforschen Sie sie jetzt.

Ressourcendrehscheibe

ClickShare-Sicherheitslücken wurden zwar gepatcht, verbergen aber ein viel größeres Problem

Veröffentlicht am 28. September 2020
Von Matias Madou, Ph.D.

Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.

Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.

Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.

Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.

"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."

Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.

Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.

Die Wurzel des Problems

Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).

Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.

Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.

Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.

Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.

In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.

Der sichere Weg nach vorn

Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.

Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.

Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.

Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?

Spielen Sie diese gamifizierten Herausforderungen auf:

Wir bitten Sie um Ihre Erlaubnis, Ihnen Informationen über unsere Produkte und/oder verwandte Themen der sicheren Codierung zuzusenden. Wir werden Ihre persönlichen Daten immer mit äußerster Sorgfalt behandeln und sie niemals zu Marketingzwecken an andere Unternehmen verkaufen.

Um das Formular abzuschicken, aktivieren Sie bitte "Analytics"-Cookies. Sie können die Cookies wieder deaktivieren, sobald Sie fertig sind.