Google-onderzoeker Tavis Ormandy, die eerder ook al kwetsbaarheden in WebEx vond, heeft opnieuw een kritiek datalek gevonden. Het probleem wordt volgens Cisco veroorzaakt door een ontwerpfout in de extensie. In januari en kort daarna werden er ook al lekken gevonden door Google Project Zero-onderzoekers.
WebEx voor Chrome en Firefox
WebEx is een populaire browserextensie, waarmee gebruikers video- en webconferenties kunnen houden. Het lek is alleen aanwezig in de Windowsversies en dan specifiek de extensies voor Chrome en Firefox. Alleen al de extensie voor Chrome heeft 20 miljoen gebruikers. De kwetsbaarheid is aanwezig in WebEx Meetings Server, Meeting Center, Event Center, Training Center, Support Center en WebEx Meetings. Voor Linux, MacOS, en Internet Explorer- en Edge-browsers van Microsoft is de extensie niet kwetsbaar.
Mogelijke gevolgen van het datalek
Door het lek met het kenmerk CVE-2017-6753 kunnen in het ergste geval hele systemen overgenomen worden. Het slachtoffer kan naar een kwaadaardige website gelokt worden, waarna de aanvaller op afstand willekeurige code in de browser van het slachtoffer kan uitvoeren. Ormandy ontdekte het lek samen met Chris Neckar van Divergent Security op 6 juli. Er zijn op 12 juli patches uitgebracht door Cisco en het probleem is vanaf versie 1.0.12 opgelost.
