„SalesBleed“: Drei Zero-Click-Lücken in Agentforce geschlossen

Sicherheitsforscher von Zenity Labs haben am 24. September drei Schwachstellen in Agentforce veröffentlicht, die sie „SalesBleed“ nennen. Das Besondere: Die Angriffe funktionierten ohne Anmeldung und ohne dass ein Opfer etwas anklicken musste. Zenity meldete die Lücken am 1. Juni an Salesforce; bis zum 19. August waren alle drei behoben. Laut Salesforce gibt es keine Hinweise darauf, dass sie gegen Kunden ausgenutzt wurden.

Der Angriffsweg

Einstiegspunkt war ein öffentliches Web-to-Lead-Formular. Darüber reichte der Angreifer einen harmlos wirkenden Lead ein, in dessen Feldern versteckte Anweisungen (Prompt Injection) steckten. Diese schlummerten, bis ein Mitarbeiter seinen Agenten bat, die neuen Leads durchzusehen.

• Datenabfluss per DNS: Zwei der Lücken brachten den Agenten dazu, Account-Daten in den Hostnamen eines Bild-Links einzubauen. Schon das Auflösen dieses Namens schickte die Daten an einen Server des Angreifers. Möglich war das, weil der Schutz für vertrauenswürdige URLs unbekannte Top-Level-Domains und bestimmte Zeichen wie geschweifte oder eckige Klammern nicht erkannte.
• Slack-Vorschauen: Ein weiterer Weg nutzte Link-Vorschauen in Slack, um CRM-Daten nach außen zu senden.
• Phishing: Außerdem ließ sich der Agent dazu bringen, Phishing-Nachrichten in interne Slack-Channels zu posten.

Die Lehre

Zenity betont, dass das Muster nicht auf Salesforce beschränkt ist. Gefährlich wird jede Kombination aus drei Zutaten: Ein Agent liest von außen eingereichte Daten, stellt Links oder Bilder dar und hat Zugriff auf sensible Informationen. Wer Agenten baut, sollte Daten aus öffentlichen Formularen als nicht vertrauenswürdig behandeln und die Werkzeuge eines Agenten so eng wie möglich fassen.