HP Erneut Lücke in Support-Software

Der PC-Hersteller Hewlett Packard liefert mit jedem verkauften Rechner eine Support Anwendung aus, um dem Kunden Hilfestellung geben zu können. Eine Sicherheitslücke in der besagten Software macht den Endverbraucher angreifbar. Einer Gruppe von Sicherheitsexperten ist es gelungen, die Lücken im ActiveX Steuerelement ausfindig zu machen.

Eigentlich ist die Software dafür gedacht, dem Kunden den Umgang mit dem Rechner zu erleichtern. Ein gut gemeinter Service von HP, der jedoch zeitgleich Risiken in sich birgt. Die Software hat den Nutzen, dass der Kunde stets über die aktuellsten Treiber und Programme verfügt. Somit muss man sich hinsichtlich der Aktualität des Systems keine Sorgen machen.

Doch was wenn diese Update- und Hilfssoftware selbst ein paar Löcher hat? Dann wirkt sich das eher nachteilig aus. Aktuell gelang es dem Sicherheitsteam CSIS einige Lücken in der Programm-Schnittstelle ActiveX zu ermitteln. Nicht umsonst geben viele Sicherheitsexperten immer wieder den wichtigen Ratschlag diesen Dienst abzulehnen oder  nicht zu verwenden. Zu groß seien die daraus resultierenden Gefahren. Läuft bei einem Kunden ausgerechnet die angreifbare Version von HP Instant Support, so kann der Befall mit Schadsoftware schnell geschehen. Ein Besuch auf einer der dubiosen Webseite, die es auf einen Angriff anlegt, könnte schon ausreichend sein. Auf dem Rechner steht dann der Installation von Malware und anderen schädlichen Anwendungen nichts mehr im Weg.

Verwundbar sind alle HP Instant Support Anwendungen in der Version 1.0.0.22. Auch die Vorgängerversionen beinhalten diese Sicherheitslücke. HP hat aber prompt reagiert und einen Hotfix veröffentlicht, der die Lücke schließt. Für HP ist dies nicht das erste Problem im Zusammenhang mit ActiveX. Ende des letzten Jahres gelang es Hackern eine vergleichbare Lücke auszunutzen. Zwei Bugs in ActiveX ermöglichte es ihnen, den infizierten System einen unerwünschten Besuch abzustatten. Auch hier war das HP-Softwareupdate und das HP Info Center betroffen.

(via theregister.co.uk, thx)

• Kommentar schreiben