Trotz Superfish und eDellRoot: Hersteller-Updater ermöglichen weiterhin MITM-Angriffe

Erinnert Ihr Euch noch an Superfish? Lenovo hat richtig schön daneben gegriffen und dem Nutzer nicht nur Werbung untergejubelt, sondern ihm auch der Gefahr von Angriffen ausgesetzt. Ähnliche Probleme gab es bei Dell, hier war ebenfalls ein Zertifikat schuld daran, dass Angreifer vermeintlich sichere Verbindungen mitlesen konnten. Für den Kunden ist dies alles andere als toll, zumal er recht wenig Einfluss darauf hat, was ihm ein Hersteller denn mit der neuen Hardware so liefert. Nun möchte man meinen, die Hersteller hätten aus den Vorfällen des letzten Jahres gelernt und bieten mittlerweile sichere Systeme an. Haben sie offenbar aber nicht.

Duo Labs veröffentlichte gestern eine Untersuchung, die sich genau damit beschäftigt, mit der Angreifbarkeit durch von den Herstellern ins System gebrachte Software. Untersucht wurden die Systeme verschiedener Hersteller, angreifbar war jedes auf die ein oder andere Art. Man-In-The-Middle-Angriffe werden dadurch ermöglicht, Angreifer können Code als „System“ ausführen. Schuld daran sind Teile des Systems, die den Nutzer eigentlich schützen sollten, die Updater der Hersteller Dell, HP, Lenovo, Acer und ASUS.

Es fanden sich nicht in allen Updatern die gleichen Lücken, aber in allen wurde es möglich, durch einen Angriff Code auszuführen. Nun gibt es im Microsoft Store seit geraumer Zeit auch Signature Editions von ausgewählten Geräten. Sie kommen in der Regel ohne Bloatware. Allerdings nicht ohne Herstellerupdater, sie sind demnach ebenfalls von den Lücken betroffen. Allerdings schreibt Duo Labs, dass diese „oft“ mit Herstellerupdatern versehen sind, welche konkret betroffen sind, wird nicht genannt.

Folgende Lücken fand Duo Labs bei den Herstellern:

Die Untersuchungen fanden zwischen Oktober 2015 und April 2016 statt, die Lücken müssen folglich nicht mehr aktuell sein. Aber dass sie nach den ganzen Skandalen letztes Jahr überhaupt noch da sind, ist schon irgendwo eine Unverschämtheit dem Kunden gegenüber. Der hat im Zweifelsfall nämlich das Nachsehen, wenn er attackiert wurde und dadurch Probleme bekommt. Da kann man auch nach über einem Jahr wieder sagen: „Liebe Hersteller: haut ab mit Bloatware!“, auch wenn es diesmal weniger Bloatware ist. Die Problematik bleibt aber, Hersteller machen Mist, der Kunde muss es ausbaden.