Una falla en Webex permite acceder al esquema completo de una empresa
Hace algún tiempo, Karl Fosaaen, experto en forense digital, publicó una investigación bastante interesante sobre los servicios federados y Skype para empresas. Uno de los vectores de ataque consistía en poder acceder a las libretas de direcciones de otras empresas y enviarles mensajes directos de Skype for Business, incluidas todas las funciones que tiene Skype for Business, como ver cuándo hay otros usuarios en línea. Ha sido descubierto algo similar en Webex de Cisco.
Webex es utilizado por miles de empresas en todo el mundo. Es una plataforma de videoconferencia que permite a los clientes utilizar dominios como “companyname.webex.com” para albergar sus salas de reuniones públicas.
Una característica muy útil es la función para habilitar salas de reuniones personales. Cada empleado recibe una sala de reuniones personal para que puedan organizar reuniones o llamadas de conferencia en su sala personal a través de Webex. Los empleados pueden compartir el enlace de su sala de reunión personal con aquellos con quienes desean comunicarse.
Acorde a especialistas en forense digital del Instituto Internacional de Seguridad Cibernética, un enlace comúnmente empleado es: “companyname.webex.com/meet/userid”.
La identificación de usuario suele ser el nombre de usuario o la dirección de correo electrónico del dominio, más o menos unos pocos caracteres. Una vez que se conoce el esquema de nombres de las salas personales de una empresa, ahora puede ingresar a la sala personal de cualquier persona, como el usuario quiera, desde cualquier lugar que desee.
Al navegar a un enlace de la sala de reuniones personal, se muestra esta página:
Una vez que ingresan los detalles que el usuario desea, se le redirige directamente a la sala personal. Lo mejor de todo es que si esa persona no se encuentra actualmente en su habitación, se nos presenta esto:
Una vez que haga clic en “Notificar”, se enviará un correo electrónico al propietario de la sala personal. Este correo electrónico se genera y envía desde messenger@webex.com. En este ejemplo se utilizó un nombre falso, pero podría haber sido cualquier ejemplo dentro de la organización.
¿Qué es lo que esto permite hacer?
- Enumerar nombres de usuario válidos
- Acceso directo a cualquier persona dentro de la empresa
¿Cómo saber si su compañía es vulnerable a este error?
- Según expertos en forense digital, debe verificar la URL de enlace de su habitación personal ingresando a la Configuración de Webex
- Intente acceder a ese enlace desde una computadora fuera de su red, si puede ingresar a la sala personal, es vulnerable
¿Qué se puede hacer al respecto?
- Dependiendo de la configuración, puede cambiar la URL de su habitación personal
- Recomiende a su departamento de TI cambiar la identificación de la habitación
Una rápida enumeración de subdominios en .webex.com descubrió miles de dominios para empresas que usan Webex de esta manera.
Fuente: https://jordanpotti.com/2018/10/03/violating-your-personal-space-with-webex/
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
