Der Gebrauch von Cookies erlaubt uns Ihre Erfahrung auf dieser Website zu optimieren. Wir verwenden Cookies zu Statistikzwecken und zur Qualitätssicherung. Durch Fortfahren auf unserer Website stimmen Sie dieser Verwendung zu.

Erfahren Sie mehr

09.05.2019 Kritische Sicherheitslücken bei Dell-PCs

Symbolbild

Die Software SupportAssist ermöglicht Kriminellen, Schadsoftware in Dell-Geräte einzuschleusen. Ein Update wurde bereits veröffentlicht und sollte dringend installiert werden.

Zwei als „hoch“ klassifizierte Sicherheitslücken wurden im vorinstallierten Tool SupportAssist vom Sicherheitsforscher Bill Demirkapi entdeckt ‒ betroffen davon sind alle Dell-Geräte mit Windows-Betriebssystem. Nutzen Angreiferinnen und Angreifer diese Schwachstellen aus, können sie aus der Ferne die Systeme vollständig kontrollieren.

Die erste Sicherheitslücke erlaubt Kriminellen, unter bestimmten Voraussetzungen sogenannte Cross-Site-Request-Forgery-Angriffe (CSRF) durchzuführen. Durch diese CSRF-Attacken schieben die Angreiferinnen und Angreifer HTTP-Anfragen unter, welche von den Betroffenen oft unbemerkt bleiben. Wird die Anfrage ausgeführt, können die Kriminellen bestimmte Interaktionen mit Webseiten durchführen, um so an Zugriffsrechte zu gelangen oder Schadcodes in Netzwerke einzuschleusen.

Auch die zweite Sicherheitslücke ist schwerwiegend: Nutzerinnen und Nutzer werden auf eine präparierte Website gelockt, welche das SupportAssist-Tool dazu bringt, bestimmte Dateien herunterzuladen und auszuführen. Da die Software SupportAssist über Administratorenrechte verfügt, erhalten die Hackerinnen und Hacker so ebenfalls vollständige Kontrolle über Systeme. Um diese Variante jedoch ausführen zu können, müssen sich die Angreiferinnen und Angreifer im selben Netzwerk wie die Opfer befinden.

Betroffen von den Sicherheitslücken sind alle SupportAssist-Versionen vor 3.2.0.90. Userinnen und User sollten das Update, welches im Dell-Download-Center zur Verfügung steht, daher schnellstmöglich installieren.

Weitere Informationen

Datum der Veröffentlichung: 09.05.2019

Für den Inhalt verantwortlich:
  • A-SIT Zentrum für sichere Informationstechnologie – Austria