Securepoint UTM: Hotfix schließt kritische Sicherheitslücke
In den Securepoint UTM klafft eine kritische Sicherheitslücke. Das Unternehmen hat einen Hotfix bereitgestellt, der die Schwachstelle abdichtet.
(Bild: momente/Shutterstock.com)
Securepoint warnt vor einer kritischen Sicherheitslücke in der UTM-Software (Unified Threat Management) des Herstellers. Details spart das Unternehmen vollständig aus, empfiehlt jedoch, den bereitstehenden Hotfix umgehend zu installieren.
Securepoint: Informationen zur Sicherheitslücke sind Mangelware
Der Hersteller erläutert, dass die UTM-Software in den Versionen 12.2.3.1 (Reseller Preview), 12.2.3.2 (Reseller Preview), 12.2.3.3, 12.2.3.4, 12.2.4, 12.2.4.1 sowie 12.2.5 von der kritischen Schwachstelle betroffen sind. Ein Hotfix auf Version 12.2.5.1 steht bereit und soll den zugrundeliegenden Fehler ausbessern, schreibt Securepoint im Changelog.
Unklar bleibt, welche Komponente der UTM von der Sicherheitslücke betroffen ist – immerhin bietet solch eine UTM diverse Funktionen von Firewall, über VPN bis E-Mail- und Webschutz an. Ebenfalls unbekannt ist derzeit, wie Angreifer die Sicherheitslücke missbrauchen könnten. Und was sie damit auslösen könnten, etwa ob sie Code einschleusen, das Gerät und damit die Netzwerkverbindungen lahmlegen oder etwa Informationen ausspähen können. Somit sind auch keine temporären Gegenmaßnahmen bekannt oder ableitbar.
Eine Antwort auf eine Anfrage diesbezüglich von heise online an Securepoint steht derzeit noch aus; bei Verfügbarkeit aktualisieren wir die Meldung. IT-Verantwortliche, die Securepoints UTM einsetzen, sollten aufgrund des Schweregrads der Lücke zügig die bereitstehende Aktualisierung herunterladen und anwenden. Eine Anleitung für das Installieren von Updates hat Securepoint auf der Webseite veröffentlicht.
Andere Hersteller von UTM-Appliances und -Software mussten ebenfalls bereits Schwachstellen in ihrer Software abdichten. So hatte etwa auch Sophos für die UTM des Unternehmens im Frühjahr 2022 sicherheitsrelevante Aktualisierungen verteilt.
Securepoint hat auf die Anfrage von heise online geantwortet, dass "wir zunächst keine Informationen zur Sicherheitslücke selbst oder betroffenen Komponenten veröffentlichen". Das Unternehmen will so "die Sicherheit der noch nicht aktualisierten Geräte weiter [..] ermöglichen", das Vorgehen sei "mit dem IT-Security-Researcher abgestimmt und [wir] werden zu einem angemessenen Zeitpunkt gemeinsam weitere Details veröffentlichen." Immerhin so viel verrät das Unternehmen jedoch: "Bisher ist uns als Hersteller nicht bekannt, dass die Sicherheitslücke aktiv ausgenutzt wird oder in der Vergangenheit ausgenutzt wurde", erläutert Securepoint weiter. Die Sicherheitslücke wurde von einem IT-Sicherheitsforscher am 05.01.2023 gemeldet und am 06.01.2023 ein Hotfix zum Beheben der Fehler bereitgestellt.
(dmk)
