Betroffen ist die Anbindung der Single-Sign-On-Anmeldung (SSO) an das Verwaltungsportal Control Hub innerhalb der Cisco Webex Services. Der Fehler liegt in einer fehlerhaften Zertifikatsprüfung: Die Gültigkeit der vorgelegten Anmeldeinformationen wurde nicht korrekt verifiziert. Dadurch konnte ein Angreifer aus der Ferne und ohne eigene Zugangsdaten eine Verbindung zu einem Dienst-Endpunkt aufbauen und dort ein eigens präpariertes Token übermitteln. Gelang dies, ließ sich damit die Identität eines beliebigen Nutzers des Dienstes annehmen. Der Angreifer erhielt auf diesem Weg unberechtigten Zugriff auf reguläre Webex-Dienste und damit auf die Daten und Funktionen, die dem jeweiligen Konto zustehen – einschließlich möglicher administrativer Rechte, wenn ein entsprechend privilegiertes Konto nachgeahmt wurde. Da weder eine Anmeldung noch eine Mitwirkung der Nutzer erforderlich war, war die Hürde für einen Angriff gering. Der Defekt wurde herstellerseitig in der Cloud-Umgebung behoben.