Instanzen von AVG Antivirus-Software können mit AVG Remote Administration über einen zentralen Server verwaltet werden. Laut Experten weist die Software, betroffen ist die Version 13.0.0.2892, kritische Sicherheitslücken auf, die dazu missbraucht werden können, Schadcode auf den Client-Systemen zu installieren und den Server zu übernehmen.

Insgesamt hat die Sicherheitsfirma SEC Consult vier Sicherheitslücken in der Software entdeckt. Die gravierendste davon erlaubt einem Angreifer mit Zugang zum Administrator-Interface der Software, System-Rechte auf dem Server zu erlangen, indem er beliebige DLLs mit Schadcode über ein Netzlaufwerk lädt. Die Authentifizierung bei der Anmeldung am Server findet auf dem Client des sich anmeldenden Nutzers statt, wie die Sicherheitsforscher ebenfalls feststellten. Ein Angreifer kann die Client-Software damit so manipulieren, dass er einfach, ohne ein Passwort zu kennen, angemeldet wird.

Weiter wird die Identität der Kommunikationspartner beim zur Kommunikation zwischen Server und Client eingesetzten Protokoll nicht verifiziert. Ein Angreifer kann also die Software auf den Clients administrieren, indem er sich als Server ausgibt, als wäre er im Besitz des legitimen Servers. Außerdem verwendet das eingesetzte Verschlüsselungsprotokoll statische, aus dem Client ausgelesbare, Schlüssel. Ein Angreifer kann daraufhin sämtliche Kommunikation zwischen den AVG-Programmen entschlüsseln.

Am 29. April, über vier Monate nachdem AVG vertraulich über die Lücken informiert wurde, hat die Firma ein Update (Version 2013.0.2895) herausgegeben. Dieses schließt allerdings nur die Lücke, die auf dem Server das Ausführen von Schadcode erlaubt. Nach wie vor sind die drei anderen Lücken, inklusive der katastrophalen Client-seitigen Anmeldung am Server, offen. Dass die anderen Lücken nicht geschlossen werden, hat der Technikchef von AVG hat, laut SEC Consult, gegenüber der Sicherheitsfirma bestätigt.

(mt, hannover)

(siehe auch Heise-News-Ticker :)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE