Update: Schwachstellen sind gepatcht Sicherheitsforscher warnen vor Avast Free und AVG Free

Anbieter zum Thema

Fsas Technologies GmbH

Sicherheitsforscher der Zero Day Initiative haben Schwachstellen in Avast Free Antivirus und AVG gefunden, für die es aktuell kein bestätigtes Update gibt. Daher raten die Forscher derzeit von der Verwendung der Malware-Scanner ab.

Trend Micros Zero Day Initiative hat bereits seit 2023 Schwachstellen an Avast und AVG gemeldet. Die Sicherheitsforscher geben aktuell nicht an, welche Betriebssysteme von den Sicherheitslücken betroffen sind. Außerdem ist nicht klar, ob auch die kostenpflichtige Premium-Edition betroffen ist. Die Schwachstellen CVE-2024-7237 und CVE-2024-7227 sind bisher noch nicht nachhaltig geschlossen. Generell können alle Betriebssysteme davon betroffen sein, auf denen Avast/AVG zur Verfügung steht. Das sind zum Beispiel Android, macOS, Windows.

Das steckt hinter CVE-2024-7237 und CVE-2024-7227

Die Sicherheitslücke CVE-2024-7237 betrifft AVG AntiVirus Free und hat einen CVSS-Score von 7.8. Diese Bewertung ergibt sich aus der Kombination verschiedener Faktoren: Der Angriffsvektor ist lokal, die Angriffs-Komplexität ist niedrig, es sind niedrige Privilegien erforderlich, und es ist keine Benutzerinteraktion notwendig. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils hoch. Diese Schwachstelle ermöglicht lokalen Angreifern die Eskalation von Privilegien auf betroffenen Installationen. Um diese Sicherheitslücke auszunutzen, muss ein Angreifer zunächst die Möglichkeit erlangen, Code mit niedrigen Privilegien auf dem Zielsystem auszuführen.

Das spezifische Problem liegt im AVG-Service. Durch das Erstellen eines symbolischen Links kann ein Angreifer den Service dazu missbrauchen, einen Ordner zu löschen. Dadurch lässt sich die Sicherheitslücke ausnutzen, um Privilegien zu eskalieren und beliebigen Code im Kontext des SYSTEM-Benutzers auszuführen. Die Entdeckung und Meldung dieser Schwachstelle erfolgte am 3. Januar 2023 durch das ZDI-Team (Zero Day Initiative).

Am 10. Januar 2024 fragte ZDI nach Updates, woraufhin das GenDigital Information Security Team am 15. Januar 2024 empfahl, den Bericht über ein Webformular an ein Drittanbieter-Programm zur Offenlegung von Sicherheitslücken zu übermitteln. ZDI reichte die Schwachstelle am gleichen Tag erneut ein. Am 17. Januar 2024 bat ZDI das GenDigital Information Security Team um Bestätigung des Eingangs des Berichts. Weitere Anfragen nach Updates erfolgten am 3. April und 26. Juni 2024. Da bis dahin keine Antwort eingegangen war, kündigte ZDI am 26. Juni 2024 an, den Fall als Zero-Day-Information zu veröffentlichen. Am 3. Juli 2024 kommunizierte der Anbieter schließlich, dass das Problem behoben sei. ZDI bat am 11. Juli 2024 um ein geschätztes Veröffentlichungsdatum und informierte den Anbieter am 26. Juli 2024 über die Absicht, die Fälle am 29. Juli 2024 als Zero-Day-Info zu veröffentlichen.

Eine ähnliche Sicherheitslücke betrifft Avast Free Antivirus mit der CVE-Nummer 2024-7227, die ebenfalls einen CVSS-Score von 7.8 aufweist. Diese Schwachstelle ermöglicht lokalen Angreifern, Privilegien zu eskalieren, indem sie einen symbolischen Link erstellen und den Avast-Service dazu bringen, eine Datei zu löschen. Auch hier kann ein Angreifer durch diese Schwachstelle beliebigen Code im Kontext des SYSTEM-Benutzers ausführen.

Die Meldung dieser Schwachstelle an das Avast-Sicherheitsteam erfolgte am 19. Oktober 2023 durch ZDI. Nach mehreren Anfragen nach Updates im Februar und März 2024, informierte ZDI den Anbieter am 15. März 2024 über die Absicht, den Fall als Zero-Day-Beratung zu veröffentlichen. Ein Teammitglied von Gen Digital teilte am 25. April 2024 mit, dass alle Sicherheitsprobleme über ein Drittanbieter-Programm zur Offenlegung von Sicherheitslücken eingereicht werden sollten. ZDI reichte die Schwachstelle am 16. Mai 2024 erneut ein und stellte am 19. Juni 2024 weitere Anfragen nach Updates. Schließlich informierte ZDI auch hier den Anbieter am 26. Juli 2024 über die Absicht, die Fälle am 29. Juli 2024 als Zero-Day-Info zu veröffentlichen.

Problematisch an den Sicherheitslücken ist vor allem, dass Gen Digital, Eigentümer der Marken Avast, Avira, AVG, CCleaner, LifeLock und Norton keine klare Kommunikation zur Fehlerbeseitigung angestrebt hat. Sollten die Schwachstellen bereits behoben sein, sollte es für das Unternehmen kein POroblem darstellen, klar Versionsnummern zu kommunizieren, mit denen die Anwender wieder geschützt sind. Bis dahin ist die von der ZDI empfohlene Mitigation Strategy: „In Anbetracht der Art der Schwachstelle besteht die einzige sinnvolle Abhilfestrategie darin, die Interaktion mit der Anwendung einzuschränken.“

Update vom 15. August 2024: Schwachstellen sind gepatcht

Gen hat heute über seine deutsche Presseagentur mitgeteilt, dass die Schwachstellen CVE-2024-7237 und CVE-2024-7227 in Version 24.1 am 24. Februar 2024 gepatcht wurden. Gen hat nach Aussagen der Agentur der Zero Day Initiative (ZDI) Informationen zur Korrektur ihrer Website zur Verfügung gestellt.

(ID:50119965)