ClickShare-Schwachstellen sind vielleicht behoben, doch sie verdecken ein weitaus größeres Problem

Eine Version dieses Artikels erschien auf DevOps.com. Er wurde für die hiesige Veröffentlichung aktualisiert und enthält interaktive Links zu Schwachstellen-Challenges.

Wir alle erinnern uns sicher an Situationen in Meetings oder auf Konferenzen, in denen es Probleme mit der Präsentationstechnik gab. Das kommt so häufig vor, dass man fast schon mit einer holprigen Erfahrung rechnet, zumindest zu Beginn. Es überrascht daher nicht, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres, als mit einer ClickShare-Anwendung eine Präsentation vom Laptop, Tablet oder Smartphone auf einen großen Bildschirm oder Konferenzraumprojektor zu übertragen. Der belgische Anbieter von digitaler Projektions- und Bildgebungstechnologie Barco hat seine Automatisierungsplattform genau dafür konzipiert, und die großen Unternehmen haben dieses Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnik auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.

Als Forscher von F-Secure im Dezember enthüllten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken übersät war, löste dies in der Geschäftswelt Schockwellen aus. Die aufgedeckten Sicherheitsmängel sind kritischer Natur und könnten potenziell eine Vielzahl böswilliger Aktivitäten ermöglichen.

Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspionieren, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infizieren würde, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, dass schwerwiegende Sicherheitsprobleme direkt in Konferenzräumen und Büros im gesamten Unternehmen installiert waren. Und aufgrund der Art der Schwachstellen könnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch ermöglichen.

"Ein Angreifer, der erfolgreich eine Einheit kompromittiert, erhält die Fähigkeit, verschlüsselte Bilder für jede Einheit zu entschlüsseln sowie gültige verschlüsselte Bilder zu erstellen, egal ob innerhalb einer Produktfamilie oder übergreifend", schrieben F-Secure-Experten in ihrem Bericht. "Darüber hinaus kann ein solcher Angreifer Zugriff auf sensible gespeicherte Daten wie den konfigurierten WLAN-PSK und Zertifikate erhalten."

Man muss Barco zugutehalten, dass das Unternehmen äußerst proaktiv bei der Bereitstellung von Patches und Korrekturen für die in seinen Produkten gefundenen Schwachstellen war. Der Sicherheitsanbieter Tenable veröffentlichte kürzlich einen Bericht, der 15 Schwachstellen in acht Präsentationstools aufzeigte, darunter auch Barco. Stand Februar hat nur Barco aktiv Korrekturen bereitgestellt.

Obwohl einige der Barco-Schwachstellen Hardwareänderungen erfordern (und deren Umsetzung ein Albtraum sein wird, falls ein Unternehmen überhaupt so weit geht, sie abzusichern), können viele davon mit Software-Patches behoben werden. Dies bietet den meisten Unternehmenskunden einen scheinbar guten Plan zur Behebung ihrer unmittelbaren Probleme, aber sie sind damit noch lange nicht aus dem Schneider. Die Probleme bei Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Schwachstellen in bekannten Hardware- und Softwareprodukten geht.

Die Wurzel des Problems

Nachdem die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitsmängeln in Tausenden von Konferenzräumen weltweit landen konnten oder warum sie von Anfang an so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day-Lücken oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Mängel waren mit bekannten, allgemeinen Schwachstellen wie Code-Injection-Angriffen verbunden. Die meisten hatten bereits CVE-Identifikationen (Common Vulnerabilities and Exposures).

Wie also konnten jahrzehntealte CVEs in moderne Präsentationstools gelangen oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation und sicherlich nicht nur auf die Barco-Teams beschränkt.

Der beste Zeitpunkt, eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, die Barco sicherlich lernen wird, während sein einst unangreifbarer Marktanteil nach diesem Sicherheitsfiasko leidet.

Sicherheitskorrekturen in den Entwicklungsprozess vorzuverlegen ist keine leichte Aufgabe, aber in der heutigen Welt notwendig, in der selbst scheinbar einfache Geräte wie Präsentationstools überraschend komplex und zudem mit allem anderen vernetzt sind. In diesem Umfeld muss Sicherheit zu einer bewährten organisatorischen Praxis werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt – Sicherheit muss in jedem Aspekt eines Unternehmens berücksichtigt werden.

Die Priorisierung bewährter Sicherheitspraktiken und deren Etablierung als gemeinsame Verantwortung ist das Ziel der DevSecOps-Bewegung, bei der Entwicklungs-, Sicherheits- und Betriebsteams zusammenarbeiten, um sichere Software und Produkte zu programmieren und bereitzustellen. Dies erfordert ebenso sehr einen kulturellen Wandel wie alles andere. Die neue Denkweise muss lauten, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Versagen darstellt wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.

In einem gesunden DevSecOps-Umfeld sollte jeder, der mit Software arbeitet, ein Sicherheitsbewusstsein haben, wobei Entwickler relevante und regelmäßige Schulungen erhalten, um zu vermeiden, dass katastrophale Fehler in ihre Arbeit einfließen. Wenn die Teams bei Barco Sicherheit als gemeinsame Verantwortung betrachtet hätten, wäre es unmöglich gewesen, dass eine so große Ansammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools gelangt wäre.

Der sichere Weg in die Zukunft

Niemand möchte das nächste Barco sein und erklären müssen, warum bekannte Sicherheitsmängel über die eigenen Geräte in Tausende von Unternehmensnetzwerken weltweit gelangt sind. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, Sicherheit sofort als gemeinsame Verantwortung und bewährte organisatorische Praxis priorisieren. Der Aufbau eines gesunden DevSecOps-Programms braucht Zeit und erfordert wahrscheinlich auch einen kulturellen Wandel, aber die Ergebnisse werden die Mühe mehr als wert sein. Robustes DevSecOps kann Schwachstellen beseitigen, lange bevor sie Probleme verursachen.

Für Unternehmen, die Produkte und Software kaufen, liegt es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Dies trägt wesentlich dazu bei, sicherzustellen, dass die von ihnen bezogenen Geräte und Software keine tickenden Zeitbomben sind, die nur darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.

Besuchen Sie die Secure Code Warrior-Blogseiten für weitere Einblicke in DevSecOps und erfahren Sie, wie Sie Ihr Unternehmen und Ihre Kunden vor den verheerenden Folgen von Sicherheitslücken und Schwachstellen schützen können.

Möchten Sie tiefer in die Sicherheitslücken eintauchen, mit denen Barco konfrontiert war?

Spielen Sie diese gamifizierten Challenges zu:

• OS Command Injection in C
• Remote Code Injection in C
• Buffer Overflow in C
• Remote File Upload in C
• Im Klartext gespeicherte Anmeldedaten in C.