Abo
  • IT-Karriere:

Sicherheitslücke: Treiberinstallation auf Dell-Laptops angreifbar

Eine auf Dell-Laptops vorinstallierte Windows-Software zur Installation von Treibern öffnet einen lokalen HTTP-Server. Ein Netzwerkangreifer kann das missbrauchen, um Schadsoftware zu installieren.

Artikel veröffentlicht am ,
Aus Fehlern nichts gelernt? Erneut sorgt eine auf Dell-Laptops vorinstallierte Software für Sicherheitsprobleme.
Aus Fehlern nichts gelernt? Erneut sorgt eine auf Dell-Laptops vorinstallierte Software für Sicherheitsprobleme. (Bild: Wistula, Wikimedia Commons/CC-BY 3.0)

Ein auf Dell-Laptops unter Windows vorinstalliertes Tool namens Support Assist erlaubt es Angreifern, Schadsoftware auf einem System zu installieren. Das Tool, das eigentlich dafür gedacht ist, automatisch Treiber zu installieren und zu aktualisieren, schlampt bei der Implementierung eines lokalen HTTP-Servers.

Stellenmarkt
  1. XION GmbH, Berlin
  2. SICK AG, Waldkirch bei Freiburg im Breisgau

Der Sicherheitsforscher Bill Demirkapi beschreibt in einem Blogpost, wie es ihm gelang, mit Hilfe des Dell-Tools ein System anzugreifen.

Lokaler HTTP-Server wird zum Sicherheitsrisiko

Das Tool öffnet einen lokalen HTTP-Port. Das ermöglicht der Dell-Webseite, mit dem Tool zu kommunizieren, Hardware-Infos abzufragen und auch die Installation von Treibern auszulösen. Dabei gibt es zwar einige Prüfmechanismen in der Software, die etwa verifizieren, ob eine Anfrage tatsächlich von der Dell-Webseite kommt, die ließen sich aber alle umgehen.

Der Angriff funktioniert, weil ein Netzwerk-Angreifer einfach eine falsche Dell-Webseite ausliefern kann. Die Anfragen können auch von einer HTTP-Seite kommen. Weiterhin gibt es eine Signaturprüfung und Treiber-Downloads sollten theoretisch nur von bestimmten Hosts über HTTPS heruntergeladen werden können, doch Demirkapi fand in allen Fällen Möglichkeiten, die Software auszutricksen. Dell hat inzwischen ein Sicherheitsupdate bereitgestellt.

Nicht der erste derartige Vorfall bei Dell

Dass vorinstallierte Software auf Laptops zu Sicherheitsrisiken führt, ist nichts Neues. 2015 gab es bereits zwei Vorfälle bei Dell, die ebenfalls lokale HTTP-Server betrafen. Sie hätten es einem Angreifer ermöglicht, falsche HTTPS-Webseiten auszuliefern.



Anzeige
Spiele-Angebote
  1. 2,99€
  2. (-75%) 3,75€
  3. 4,99€
  4. 26,99€

Folgen Sie uns
       


Cherry Stream 3.0 mit großem ß ausprobiert

Alle möglichen Umlaute auf einer Tastatur: Wir haben Cherrys Europa-Tastatur ausprobiert.

Cherry Stream 3.0 mit großem ß ausprobiert Video aufrufen
Google Maps in Berlin: Wenn aus Aussetzfahrten eine neue U-Bahn-Linie wird
Google Maps in Berlin
Wenn aus Aussetzfahrten eine neue U-Bahn-Linie wird

Kartendienste sind für Touristen wie auch Ortskundige längst eine willkommene Hilfe. Doch manchmal gibt es größere Fehler. In Berlin werden beispielsweise einige Kleinprofil-Linien falsch gerendert. Dabei werden betriebliche Besonderheiten dargestellt.
Von Andreas Sebayang

  1. Kartendienst Qwant startet Tracking-freie Alternative zu Google Maps
  2. Nahverkehr Google verbessert Öffi-Navigation in Maps
  3. Google Maps-Nutzer können öffentliche Veranstaltungen erstellen

In eigener Sache: Golem.de bietet Seminar zu TLS an
In eigener Sache
Golem.de bietet Seminar zu TLS an

Der Verschlüsselungsexperte und Golem.de-Redakteur Hanno Böck gibt einen Workshop zum wichtigsten Verschlüsselungsprotokoll im Netz. Am 24. und 25. September klärt er Admins, Pentester und IT-Sicherheitsexperten in Berlin über Funktionsweisen und Gefahren von TLS auf.

  1. In eigener Sache ITler und Board kommen zusammen
  2. In eigener Sache Herbsttermin für den Kubernetes-Workshop steht
  3. Golem Akademie Golem.de startet Angebote zur beruflichen Weiterbildung

Wizards Unite im Test: Harry Potter Go mit Startschwierigkeiten
Wizards Unite im Test
Harry Potter Go mit Startschwierigkeiten

Der ganz große Erfolg ist das in der Welt von Harry Potter angesiedelte Wizards Unite bislang nicht. Das dürfte mit dem etwas zähen Einstieg zusammenhängen - Muggel mit Durchhaltevermögen werden auf den Straßen dieser Welt aber durchaus mit Spielspaß belohnt.
Von Peter Steinlechner

  1. Pokémon Go mit Harry Potter Magische Handy-Jagd auf Dementoren

    •  /