Abo
  • Services:
Anzeige
Über den Passwort-Manager ließen sich beliebige andere Programme ausführen.
Über den Passwort-Manager ließen sich beliebige andere Programme ausführen. (Bild: Trend Micro)

Schwere Sicherheitslücke: Passwort-Manager von Trend Micro erlaubt Zugriff auf PCs

Über den Passwort-Manager ließen sich beliebige andere Programme ausführen.
Über den Passwort-Manager ließen sich beliebige andere Programme ausführen. (Bild: Trend Micro)

Ein Google-Sicherheitsforscher hat eine schwere Sicherheitslücke im Passwort-Manager von Trend Micro entdeckt. Über das Internet hätten Angreifer alle Passwörter auslesen können.

Die Sicherheitssoftware des japanischen Virenschutzherstellers Trend Micro hat offenbar selbst die Sicherheit von Computernutzern gefährdet. Wie Tavis Ormandy von Googles Projekt Zero herausfand, ermöglichte eine Sicherheitslücke in einem Passwort-Manager von Trend Micro das Einschleusen und Ausführen von Schadcode. Das Unternehmen hat inzwischen ein Update veröffentlicht, das die kritischen Lücken schließen soll. Ormandy schrieb dazu: "Es sieht so aus, als ob es einen Patch gibt und das Problem gelöst ist."

Anzeige

Der Passwort-Manager ist Teil eines Sicherheitspaketes von Trend Micro und erlaubt in seiner kostenlosen Variante das Speichern von fünf Passwörtern. Laut Ormandy basiert der Passwort-Manager hauptsächlich auf Javascript und dem Webserver node.js. Das Programm öffne mehrere Ports, über die API-Anfragen verarbeitet werden. Er habe nur 30 Sekunden gebraucht, um eine URL zu finden, die das Ausführen beliebiger Befehle auf der Windows-Kommandozeile erlaube, schrieb Ormandy am vergangenen Mittwoch. Am Freitag fügte er hinzu: "Da gibt es eine schöne, saubere API, um an die im Passwort-Manager gespeicherten Passwörter heranzukommen. Damit kann jeder alle gespeicherten Passwörter lesen."

Schwere Vorwürfe von Google

Google gab dem japanischen Unternehmen 90 Tage Zeit, um den Fehler zu beheben. Das ist offenbar geschehen. Daher wurde die Kommunikation zwischen Google und Trend Micro nun freigeschaltet. Darin erhob der Sicherheitsforscher schwere Vorwürfe gegenüber dem Unternehmen. "Jeder im Internet kann alle Passwörter komplett geräuschlos stehlen, zudem beliebigen Code ohne jede Interaktion mit dem Nutzer ausführen. Ich hoffe wirklich, dass die Schwere dieses Problems Ihnen klar ist."

Er empfahl Trend Micro, diese Funktion für die Nutzer vorübergehend auszuschalten, sich für die zeitweilige Unterbrechung zu entschuldigen und den Code durch externe Sicherheitsexperten prüfen zu lassen. Seiner Ansicht nach verzeihen die Nutzer einem Sicherheitsunternehmen solche Fehler, wenn schnell auf deren Bekanntwerden reagiert werde. "Das Schlimmste, was Sie machen können, ist, die Nutzer weiterhin der Gefahr auszusetzen, während das Problem behoben wird", schrieb Ormandy.


eye home zur Startseite
DerVorhangZuUnd... 12. Jan 2016

Kopf -> Tisch -> Knall, Klirr, Wums

derdiedas 12. Jan 2016

Einfach den original thread lesen: https://code.google.com/p/google-security-research...

ThiefMaster 12. Jan 2016

Yubikey und so sind AFAIK alle nicht zur Entschlüsselung geeignet sondern nur zur...



Anzeige

Stellenmarkt
  1. DICOS GmbH Kommunikationssysteme, Darmstadt
  2. Medizinischer Dienst der Krankenversicherung in Bayern, München
  3. Media-Saturn Electronic Online Services GmbH, München
  4. T-Systems International GmbH, Bonn


Anzeige
Blu-ray-Angebote
  1. 5,49€
  2. 36,99€ (Vorbesteller-Preisgarantie)
  3. 21,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Tipps für IT-Engagement in Fernost
  2. Mehr dazu im aktuellen Whitepaper von Freudenberg IT
  3. Sicherheitskonzeption für das App-getriebene Geschäft


  1. Software

    Oracle kauft Netsuite für 9,3 Milliarden US-Dollar

  2. Innovation Train

    Deutsche Bahn kooperiert mit Hyperloop

  3. International E-Sport Federation

    Alibaba steckt 150 Millionen US-Dollar in E-Sport

  4. Kartendienst

    Daimler-Entwickler Herrtwich übernimmt Auto-Bereich von Here

  5. Killerspiel-Debatte

    ProSieben Maxx stoppt Übertragungen von Counter-Strike

  6. Mehr Breitband für mich (MBfm)

    Telekom-FTTH kostet über 250.000 Euro

  7. Zuckerbergs Plan geht auf

    Facebook strotzt vor Kraft und Geld

  8. Headlander im Kurztest

    Galaktisches Abenteuer mit Köpfchen

  9. Industrie- und Handelskammern

    1&1 Versatel bekommt Großauftrag für Glasfaser

  10. Chakracore

    Javascript-Engine von Edge-Browser läuft auf OS X und Linux



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Huawei Matebook im Test: Guter Laptop-Ersatz mit zu starker Konkurrenz
Huawei Matebook im Test
Guter Laptop-Ersatz mit zu starker Konkurrenz
  1. Netze Huawei steigert Umsatz stark
  2. Huawei Österreich führt Hybridtechnik ein
  3. Huawei Deutsche Telekom testet LTE-V auf der A9

Xiaomi Mi Band 2 im Hands on: Fitness-Preisbrecher mit Hack-App
Xiaomi Mi Band 2 im Hands on
Fitness-Preisbrecher mit Hack-App
  1. Xiaomi Hugo Barra verkündet Premium-Smartphone
  2. Redmi 3S Xiaomis neues Smartphone kostet umgerechnet 95 Euro
  3. Mi Band 2 Xiaomis neues Fitness-Armband mit Pulsmesser kostet 20 Euro

Amoklauf in München: De Maizière reanimiert Killerspiel-Debatte
Amoklauf in München
De Maizière reanimiert Killerspiel-Debatte

  1. Re: Und wieviele Informatiker sind jetzt fest...

    picaschaf | 22:35

  2. Re: nur 100m? Auf die Entfernung kann man auch...

    amagol | 22:34

  3. Dürfen die das, bzw. wollen wir das?

    flow77 | 22:34

  4. Re: Prinzipbedingt unmöglich: Sichere drahtlose...

    amagol | 22:30

  5. Re: Steuer drauf

    grorg | 22:28


  1. 22:43

  2. 18:45

  3. 17:23

  4. 15:58

  5. 15:42

  6. 15:31

  7. 14:42

  8. 14:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel