Die auf vielen HP-Rechnern mit Windows vorinstallierte Software HP Touchpoint Analytics nutzt die quelloffene Hardware-Analyse-Bibliothek Open Hardware Monitor. Eine dort entdeckte Schwachstelle (CVE-2019-6333) kann von Angreifern, die bereits Zugang zu einem System haben, dazu missbraucht werden, System-Rechte zu erlangen und Schadcode auszuführen. HP hat nun ein Sicherheitsupdate für Touchpoint Analytics veröffentlicht, um diese Lücke zu schließen.
Die Sicherheitslücke könnte unter anderem dazu führen, dass auf dem System ausgeführter Schadcode seine Rechte ausweitet und so Anti-Viren-Software umgeht. Schafft es ein Angreifer also etwa, einen Trojaner an der AV-Software vorbei auf das System zu bekommen und verleitet den Anwender unter einem Vorwand dazu, ihn auszuführen, könnte er mit Hilfe dieser Lücke das System übernehmen. Das ist besonders deswegen kritisch, weil vielen HP-Kunden gar nicht bewusst sein wird, dass HP Touchpoint Analytics auf ihrem System installiert ist und im Hintergrund ausgeführt wird.
Unsicheres Laden unsignierter DLLs
Bei der Lücke handelt es sich um einen Fehler im Open Hardware Monitor beim Laden von Systembibliotheken (DLLs). Ein Angreifer kann sich den Bug zu Nutze machen, um eine bösartige DLL auf das System zu bringen und an Stelle einer legitimen DLL zu laden. Da hierbei keine Signaturprüfung stattfindet, kann beliebiger Code eingeschleust und mit System-Rechten ausgeführt werden. Entdeckt wurde die Schwachstelle von Sicherheitsforschern der Firma SafeBreach.
Besitzer von HP-Systemen, auf denen Touchpoint Analytics installiert ist, sollten sicherstellen, dass die Software mindestens auf Version 4.1.4.2827 aktualisiert wurde – mit dieser Version wurde die Schwachstelle beseitigt. Auch Anwender, die den Open Hardware Monitor selbst installiert haben, ob auf HP-Systemen oder Windows-Rechnern anderer Hersteller, sollten darauf achten, dass die neueste Version dieser Software installiert ist.
Quelle: Sicherheitslücke in vorinstallierter Analyse-Software macht HP-Rechner unsicher | heise online