Forscher legen schwerwiegende Sicherheitslücken in Software von Trend Micro und Kaspersky offen

Betroffen ist auch die Desktopanwendung von Autodesk. Alle drei Programme prüfen die Echtheit von DLL-Dateien nicht ausreichend. Ihnen lassen sich unter Umständen unsignierte Programmbibliotheken unterschieben, was einem Angreifer Systemrechte verschafft.

Forscher von SafeBreachLabs haben drei Sicherheitswarnungen veröffentlicht. Sie beschreiben zum Teil schwerwiegende Anfälligkeiten in Software von Autodesk, Trend Micro und Kaspersky. Vor der Veröffentlichung wurden die Anfälligkeiten jedoch den jeweiligen Herstellern gemeldet und ihnen die Gelegenheit gegeben, die Löcher zu stopfen.

Darunter ist eine Schwachstelle in Trend Micro Maximum Security Version 16.0.1221 und früher. Der Fehler steckt in einer Komponente der Trend Micro Solution Platform. Die Datei coreServiceShll.exe, die als Systemprozess mit hohen Rechten ausgeführt wird, benötigt die Bibliothek paCoreProductAdaptor.dll. Liegt diese Datei nicht vor, kann dem Prozess eine andere, unsignierte DLL-Datei untergeschoben werden – es fehlt eine Prüfung der Datei-Signatur.

Die Möglichkeit, einen Prozess einer signierten Software zusammen mit einer beliebigen DLL-Datei auszuführen, erlaubt unter Umständen eine nicht autorisierte Ausweitung von Nutzerrechten – und zwar dauerhaft, da die Sicherheitssoftware zusammen mit dem Betriebssystem gestartet wird. Außerdem werden auf diese Art die Schutzfunktionen der Sicherheitssoftware umgangen.

Die zweite Anfälligkeit betrifft Kaspersky Secure Connection, den VPN-Client von Kaspersky Internet Security. Eigentlich soll die Software eine sichere Verbindung zu Servern von Kaspersky aufbauen. Aber auch hier ist es möglich, eine beliebige DLL-Datei einzuschleusen, die dann wieder mit Systemrechten ausgeführt wird. Betroffen ist Kaspersky Secure Connection 3.0.0 und früher. Allerdings lässt sich der Fehler nur ausnutzen, wenn ein Angreifer bereits über Administratorrechte verfügt.

Auch der dritte Bug basiert auf dem Szenario, dass ein fehlende oder entfernte DLL-Datei durch eine beliebige Programmbibliothek ersetzt werden kann, die dann ungeprüft geladen wird. Diesen Fehler macht die Desktop-Anwendung von Autodesk AdAppMgrSvc.exe: ein digitales Zertifikat einer DLL-Datei wird nicht abgefragt.

„Nachdem ein Angreifer Zugriff auf einen Computer erlangt hat, kann es sein, dass er eingeschränkte Rechte hat, die den Zugriff auf bestimmte Dateien und Daten einschränken können“, sagten die Forscher. „Der Dienst gibt ihm die Möglichkeit, als NT AUTHORITY\SYSTEM zu arbeiten, das der mächtigste Benutzer in Windows ist, so dass er auf fast alle Dateien und Prozesse zugreifen kann, die dem Benutzer auf dem Computer gehören.“

Alle drei Anbieter wurden im Juli über die Schwachstellen informiert. Trend Micro beseitigte den Fehler am 25. November. Von Kaspersky liegen seit 2. Dezember ein Patch und ein Security Advisory vor. Autodesk hat die Anfälligkeit in seiner Software allerdings noch nicht öffentlich bestätigt.