Download-Schwachstelle in Slack
21. Mai 2019
Angreifer könnten die Lücke in Slack für Spionagezwecke oder die Manipulation von Dateien nutzen. Entdeckt wurde diese Schwachstelle vom Research Team von Tenable in der Slack Desktop-Anwendung für Windows. Sie ermöglicht es Angreifern, den Speicherort von Dateien zu ändern, die innerhalb von Slack heruntergeladen werden.
Slack ist für viele Unternehmen ein wichtiges Werkzeug, um ihre Angestellten zu vernetzen. Die Schwachstelle wurde in Version 3.3.7 gefunden. Cyber-Kriminelle könnten durch diese Schwachstelle einen manipulierten Hyperlink über eine Slack-Nachricht schicken. Klickt das Opfer darauf, wird der Download Ort verändert, etwa zu einem File Share Dienst des Angreifers. Mithilfe der Lücke könnten Angreifer nicht nur Dokumente stehlen, die innerhalb von Slack heruntergeladen werden, sondern sie auch manipulieren. So wäre es möglich, Schadcode einzufügen, der den Rechner des Opfers kompromittiert.
„Die digitale Wirtschaft und die weltweit verteilten Belegschaften haben Technologien populär gemacht, die nahtlose Konnektivität versprechen“, kommentiert Renaud Deraison, Co Founder und Chief Technology Officer bei Tenable, die Lücke. „Doch sollte den Unternehmen klar sein, dass neue Technologien angreifbar sind und ihre Angriffsoberfläche vergrößern. Tenable Research arbeitet weiterhin mit Anbietern wie Slack zusammen, um ihnen Schwachstellen zu melden und sicherzustellen, dass Kunden und Unternehmen sicher sind.“
Slack hat mittlerweile die Version 3.4.0 veröffentlicht, um die Schwachstelle zu beheben. Anwender sollten sicherstellen, dass ihre Windows Version von Slack auf dem neuesten Stand ist. (rhh)
