Avast Antivirus: Angreifer können Rechte durch Schwachstelle ausweiten
In Avast Antivirus für Windows klaffte eine Sicherheitslücke, durch die Angreifer ihre Rechte im System ausweiten können.
(Bild: Balefire / Shutterstock.com)
Avast Antivirus ermöglichte bösartigen Akteuren aufgrund einer Sicherheitslücke, ihre Rechte im System auszuweiten. Aktualisierte Software ist verfügbar und sollte idealerweise bereits mittels automatischem Update-Mechanismus verteilt worden sein.
In der Auflistung der Sicherheitsmitteilungen von Norton (unter dieser Gen Digital Inc.-Marke sind Avast-, Avira-, AVG- und Norton Security-Produkte inzwischen gruppiert) findet sich nichts zu dieser Lücke, jedoch hat NortonLifeLock als CNA einen entsprechenden CVE-Eintrag erstellt. Demzufolge handelt es sich um einen Fehler in der Reparatur-Funktion von Avast Antivirus.
Sym-Links führen zu Rechtausweitung
Angreifer mit niedrigen Rechten im System können einen Pseudo-Sym-Link und eine Verzeichnis-Umleitung (Junction) auf eine Datei im Dateisystem anlegen. Durch den Aufruf der Reparatur-Funktion unter "Einstellungen" – "Troubleshooting" – "Reparatur" in Avast Antivirus versucht die Software, eine nicht genannte Datei zu löschen, und zwar mit den Rechten NT AUTHORITY\SYSTEM. Das führt zu erhöhten Rechten für Angreifer, die dann noch eine Race-Condition gewinnen müssen. Ein Windows-Aufruf einer speziell präparierten Datei lasse sich dann etwa zum Ausführen einer privilegierten Shell nutzen (CVE-2024-5102, CVSS 7.3, Risiko "hoch").
Der Fehler betrifft Avast Antivirus vor der Version 24.2. Die automatische Update-Funktion sollte dafür sorgen, dass die fehlerbereinigten neueren Versionen bereits auf dem Rechner liegen. Insbesondere in Business-Produkten lassen sich automatische Aktualisierungen jedoch einschränken, sodass eine Prüfung, ob der Stand der Software aktuell ist, sinnvoll ist.
Zuletzt fiel Avast durch die Forderung von Strafzahlungen in Höhe von 16,5 Millionen US-Dollar durch die FTC auf. Die Tochterfirma Jumpshot behauptet, Schutz vor Online-Tracking zu liefern, machte aber genau das Gegenteil, als die Software massenhaft Browser-Daten gesammelt und an Werbetreibende wie Condé Nast, Google, McKinsey, Microsoft, Pepsi, Sephora, Yelp und weitere verkauft hatte.
(dmk)