Trend Micro: Home Network Security Station gegen drei Schwachstellen abgesichert
Ein Firmware-Update schützt Home Network Security Stations vor Angriffsmöglichkeiten, von denen zwei, obwohl nur lokal ausnutzbar, hohe Risiken bergen sollen.
(Bild: Photon photo/Shutterstock.com)
Mehrere Versionen von Trend Micro Home Network Security, einer Schutz- und Management-Lösung für Heimnetzwerke, wiesen insgesamt drei Schwachstellen auf, von denen zwei mit "High" (CVSS-Score 7.8) und eine mit "Medium" (4.9) bewertet wurden. Angreifer hätten die Schwachstellen unter bestimmten Voraussetzungen ausnutzen können, um ihre Zugriffsrechte auszuweiten oder um Informationen auszuspähen, mit denen sich Authentifizierungsmechanismen umgehen lassen.
Trend Micro hat eine Aktualisierung in Gestalt eines Firmware-Updates für die Home Network Security Station veröffentlicht: Version 6.7.609 beseitigt die Schwachstellen, die laut einem Security Bulletin des Herstellers in Versionen bis einschließlich 6.6.604 vorhanden waren. Das Update wird laut Bulletin via Internet automatisch an die Security Stations verteilt, so dass im Normalfall keine Nutzeraktion erforderlich sein sollte.
Nähere Details zu den Schwachstellen
Detaillierte Informationen zu den Schwachstellen mit den CVE-IDs CVE-2021-32457, CVE-2021-32458 und CVE-2021-32459 sind einem Blogeintrag des Cisco Talos-Teams zu entnehmen. Demnach sind die beiden erstgenannten Schwachstellen (High-Einstufung, Privilegienausweitung) lediglich lokal ausnutzbar: Durch Übergabe bestimmmter Parameter an den Systemaufruf ioctl lassen sich, die notwendigen Zugriffsrechte vorausgesetzt, dank mangelhafter Eingabevalidierung stackbasierte Pufferüberläufe provozieren.
CVE-2021-32459 (Medium-Einstufung) fußt wiederum auf fest im Code hinterlegten Zugangsdaten für einen Account zum Hochladen von Logdateien, auf den Angreifer aus der Ferne zugreifen könnten. Sofern es ihnen gelänge, über diesen Umweg Daten herunterzuladen, könnten sie diese schlimmstenfalls für eine unbefugte Home Network Security-Anmeldung missbrauchen.
Aktive Angriffe auf eine der drei Lücken wurden von den Forschern nicht beobachtet.
(ovw)