Mit der neuen Version der BSCW-Software bringt die OrbiTeam Software GmbH & Co. KG gemeinsam mit dem Fraunhofer-Institut für Angewandte Informationstechnik FIT ein Security-Update für die Web-Groupware BSCW heraus. Die neue Version 4.4.5 bekämpft verschiedene als kritisch eingestufte Sicherheitsprobleme. So wurde beispielsweise kürzlich mittels eines "Proof Of Concept Exploits" eine Sicherheitslücke aufgedeckt, die ein sog. Session Riding ermöglicht.
Wie der Bonner Software-Hersteller berichtet, ist Session Riding nur eine von vielen Angriffsarten, auf die sich Anbieter moderner Web-Anwendungen einstellen müssen. Die Vernetzung von Anwendungen über Schnittstellen (etwa in Mashups) und die verbesserten Nutzungsmöglichkeiten des Web durch moderne Technologien (wie Ajax) führen zu einer Vielzahl weiterer Angriffsmöglichkeiten für Web-Attacken wie Code-Injection und Cross- Site Scripting (XSS). Daher müssen sich Software-Hersteller von Web-Anwendungen intensiv mit aktuellen Sicherheitsfragen im Internet auseinander setzen.
Im konkreten Fall könnte ein Angreifer mittels JavaScript-Code auf einer Web-Site ein bestimmtes Formular des Systems simulieren und so Daten an den BSCW-Server übermitteln. Diese Attacke erfolgt für den Anwender unbemerkt und kann im Ernstfall zu weiteren Angriffen führen, etwa indem Inhalte mit Schadcode in die Kooperationsplattform eingeschleust und dort von anderen Anwendern abgerufen werden.
OrbiTeam hat auf die entdeckte Sicherheitslücke umgehend reagiert und die BSCW-Software für alle Plattformen (Linux, Windows) angepasst: Schäden aufgrund der Sicherheitslücke konnten bisher bei keinem Produktivsystem beobachtet werden. OrbiTeam empfiehlt dennoch allen Anwendern der BSCW-Software, die Aktualisierung auf die neue Version umgehend durchzuführen. Neben den Security Patches bringt die Version 4.4.5 einige weitere Verbesserungen wie etwa erneuerte Zertifikate für die signierten Java-Applets, die im System für Datei- bzw. Termin-Synchronisation und die einfache Übertragung von Dokumenten per "Drag and Drop" angeboten werden. Die neue Version kann von der BSCW-Homepage heruntergeladen werden (www.bscw.de).
Das BSCW Shared-Workspace-System ist ein weltweit verbreitetes Werkzeug für die effiziente Zusammenarbeit in gemeinsamen Arbeitsbereichen. BSCW unterstützt Informationsaustausch über gemeinsame Arbeitsbereiche und effizienten Zugriff von überall aus. BSCW bringt an geografisch voneinander entfernten Orten arbeitende Teams zusammen und ermöglicht eine effiziente Kooperation über Organisationsgrenzen hinweg. Neben der Dokumentverwaltung und dem gemeinsamen Zugriff auf Termine, Kontakte und Aufgaben unterstützt BSCW auch die Kommunikation und Koordination der Anwender durch Diskussionsforen, Blogs, Umfragen und Communities.
Wie der Bonner Software-Hersteller berichtet, ist Session Riding nur eine von vielen Angriffsarten, auf die sich Anbieter moderner Web-Anwendungen einstellen müssen. Die Vernetzung von Anwendungen über Schnittstellen (etwa in Mashups) und die verbesserten Nutzungsmöglichkeiten des Web durch moderne Technologien (wie Ajax) führen zu einer Vielzahl weiterer Angriffsmöglichkeiten für Web-Attacken wie Code-Injection und Cross- Site Scripting (XSS). Daher müssen sich Software-Hersteller von Web-Anwendungen intensiv mit aktuellen Sicherheitsfragen im Internet auseinander setzen.
Im konkreten Fall könnte ein Angreifer mittels JavaScript-Code auf einer Web-Site ein bestimmtes Formular des Systems simulieren und so Daten an den BSCW-Server übermitteln. Diese Attacke erfolgt für den Anwender unbemerkt und kann im Ernstfall zu weiteren Angriffen führen, etwa indem Inhalte mit Schadcode in die Kooperationsplattform eingeschleust und dort von anderen Anwendern abgerufen werden.
OrbiTeam hat auf die entdeckte Sicherheitslücke umgehend reagiert und die BSCW-Software für alle Plattformen (Linux, Windows) angepasst: Schäden aufgrund der Sicherheitslücke konnten bisher bei keinem Produktivsystem beobachtet werden. OrbiTeam empfiehlt dennoch allen Anwendern der BSCW-Software, die Aktualisierung auf die neue Version umgehend durchzuführen. Neben den Security Patches bringt die Version 4.4.5 einige weitere Verbesserungen wie etwa erneuerte Zertifikate für die signierten Java-Applets, die im System für Datei- bzw. Termin-Synchronisation und die einfache Übertragung von Dokumenten per "Drag and Drop" angeboten werden. Die neue Version kann von der BSCW-Homepage heruntergeladen werden (www.bscw.de).
Das BSCW Shared-Workspace-System ist ein weltweit verbreitetes Werkzeug für die effiziente Zusammenarbeit in gemeinsamen Arbeitsbereichen. BSCW unterstützt Informationsaustausch über gemeinsame Arbeitsbereiche und effizienten Zugriff von überall aus. BSCW bringt an geografisch voneinander entfernten Orten arbeitende Teams zusammen und ermöglicht eine effiziente Kooperation über Organisationsgrenzen hinweg. Neben der Dokumentverwaltung und dem gemeinsamen Zugriff auf Termine, Kontakte und Aufgaben unterstützt BSCW auch die Kommunikation und Koordination der Anwender durch Diskussionsforen, Blogs, Umfragen und Communities.
