Project Zero: Avast deaktiviert Javascript in Sicherheitssoftware
"Kostenloser Virenschutz, der Sie nicht im Stich lässt," bewirbt Avast seine gleichnamige Antivirensoftware. In der Javascript-Engine der Software lauerte jedoch eine derart schwerwiegende Sicherheitslücke, dass Angreifer kurzerhand den Rechner übernehmen konnten. Entdeckt hatten die Lücke Tavis Ormandy und Natalie Silvanovich von Googles Sicherheitsinitiative Project Zero. Avast hat die Komponente nun abgeschaltet. Erst kürzlich stand Avast in der Kritik, weil es über eine Tochterfirma mit detaillierten Nutzerdaten gehandelt hatte . Zuerst hatte das Onlinemagazin ZDnet berichtet(öffnet im neuen Fenster) .
Die Javascript-Engine ist eine zentrale Komponente der Antivirensoftware, sie analysiert Javascript-Code auf Schadsoftware. Laut Ormandy läuft der Prozess mit Systemrechten und ist in keinster Weise geschützt, beispielsweise gibt es keine Sandbox. Es reiche daher, einem Benutzer eine Javascript- oder WSH-Datei mit Schadcode zukommen zu lassen, beispielsweise per E-Mail. Diese würde zur Prüfung von Avasts Javascript-Engine ausgeführt – mit Systemrechten, betont Ormandy.
"Alle Schwachstellen in diesem Prozess sind kritisch und für entfernte Angreifer leicht zugänglich," erklärt Ormandy. Mit der Sicherheitslücke war es daher möglich, Code aus der Ferne mit Systemrechten ausführen zu lassen und Rechner, auf denen die Avast-Software installiert ist, zu übernehmen.
"Die Schwachstelle könnte möglicherweise dazu missbraucht worden sein, um aus der Ferne Code auszuführen," bestätigte Avast die Sicherheitslücke auf Anfrage von Golem.de. Avast wisse von der Sicherheitslücke seit dem 4. März. Am 9. März habe Ormandy ein Tool veröffentlicht(öffnet im neuen Fenster) , mit dem sie sich leichter ausnutzen lässt. "Wir haben das Problem durch die Deaktivierung des Emulators behoben, um sicherzustellen, dass unsere Hunderte von Millionen an Nutzern vor jeglichen Angriffen geschützt sind," erklärte Avast. Die Funktionalität der AV-Software sei dadurch nicht beeinträchtigt.
Entdeckt hatte Ormandy die Sicherheitslücke mit Hilfe eines Tools , das er selbstgeschrieben und 2017 veröffentlicht hatte. Damit ist es möglich, Windows-DLL-Bibliotheken unter Linux auszuführen und zu fuzzen, also mit zufälligen Eingaben zu penetrieren und dadurch Fehler zu finden. Mit dem Tool hatte Ormandy bereits Sicherheitslücken in Microsofts Antiviren-Software entdeckt .