Teamviewer: Sicherheitslücke im Client ermöglicht Rechteausweitung
Eine Schwachstelle im Teamviewer-Client ermöglicht Nutzern, ihre Rechte im System auszuweiten. Ein Update steht bereit.
(Bild: II.studio/Shutterstock.com)
Die Entwickler von Teamviewer warnen vor einer Sicherheitslücke im Teamviewer-Client. Angreifer mit niedrigen Rechten könnten dadurch auf andere Nutzer verbinden – und damit ihre Rechte ausweiten. Ein Update für den Client steht bereit, der das Problem korrigiert.
In der Sicherheitsmitteilung schreiben die Teamviewer-Entwickler, dass der Zugriff zum Setzen eines persönlichen Passworts keine Administratorrechte benötige. Dadurch können Nutzer mit niedrigen Rechten in Mehrbenutzersystemen mit Zugriff auf den Client ein persönliches Passwort vergeben. Das erlaubt ihnen, einen Fernzugriff auf andere derzeit angemeldete Nutzer auf dem System zu starten (CVE-2024-0819, CVSS 7.3, Risiko "hoch").
Teamviewer: Rechteausweitung durch persönliches Passwort
Der CVE-Eintrag formuliert die Folgen deutlicher: Eine unangemessene Initialisierung von Standardeinstellungen im Teamviewer Remote Client vor der Version 15.51.5 für Linux, macOS und Windows erlaubt Nutzern mit niedrigen Rechten, ihre Rechte auszuweiten, indem sie das persönliche Passwort ändern und eine Fernzugriffssitzung zu einem angemeldeten Administratorzugang aufbauen.
Die Entwickler von Teamviewer erläutern, dass Clients mit aktivierter Einstellung "Änderungen benötigen Administratorrechte auf diesem Computer" oder weiterer aktivierter und korrekt konfigurierter Sicherheitsfunktionen nicht anfällig seien. Ausdrücklich empfehlen sie den erleichterten Zugang (Easy Access) für unbeaufsichtigten Zugriff mit Zwei-Faktor-Authentifizierung abzusichern. Wer dennoch ein persönliches Passwort dafür nutzen wolle, solle sicherstellen, die Richtlinien zu befolgen und ein starkes Passwort zu verwenden.
Sowohl der Teamviewer Remote Full Client als auch Teamviewer Remote Host stehen als fehlerbereinigte Version 15.51.5 auf der Download-Seite des Unternehmens zum Herunterladen bereit. IT-Verantwortliche und Teamviewer-Nutzer sollten die Aktualisierung zügig installieren.
Mehrere Fernwartungssoftware-Produkte fielen in jüngster Vergangenheit durch Sicherheitsprobleme auf. So konnten bei Anydesk Cyberkriminelle in die Produktivsysteme einbrechen. RustDesk musste hingegen einen Treiber entfernen, weil der derzeit lediglich mit einem Entwickler-Testzertifikat ausgestattet ist und dafür ein Entwickler-Zertifikat als vertrauenswürdig in Windows verankert wurde.
(dmk)