|
 |
InstallShield Update Agent liefert unsichere Updates
Veröffentlicht am Dienstag, 23.September von Redaktion
Um sich Informationen über eventuelle Sicherheitsupdates oder neuere Versionen zu holen enthält das Installationspaket InstallShield einen Update Agent der sich mit dem Herstellerserver verbindet. Das geschieht ohne Verschlüsselung oder oder Authentifizierung.
Übertragene Daten können so von einem Angreifer praktisch beliebig manipuliert werden. Zusätzlich kann der Angreifer die Verbindung belauschen. Theoretisch ist es möglich den Rechner auf diesem Weg mit Spionage- oder Schadsoftware zu infizieren da auch neue Software-Versionen über das Update-System geladen und installiert werden.
Das von weiteren Installationsprogrammen genutzte Acresso FLEXnet Connect betrifft, laut einer Sicherheitswarnung des US-Cert, unter anderen Pakete von Macrovision, Roxio ,IBM, Corel und Intel.
Es gibt bisher kein Update vom Hersteller. Das es keine wirkliche Abhilfe gibt resümieren der Entdecker des Problems Brian Dowling als auch das US-Cert. Zusätzlich kommt erschwerend dazu, dass das ActiveX Control des Update Agents in der Sicherheitsverwaltung einen Fehler hat den man ausnutzen kann um einen Code einzuschleusen und auszuführen.
Acresso stellt ein Update für diese Lücke bereit welches die Hersteller an ihre Kunden verteilen sollten.
Anscheinend ist das InstallShield bis jetzt noch geschehen.
Kommentar:
|
|  |
|
