Je nach Anwendungen und Betriebssystemen könnte ein Klick auf einen Link fatale Folgen haben und im schlimmsten Fall die Ausführung von Schadcode nach sich ziehen. Schuld daran sind fehlende Überprüfungen von Nutzereingaben. Im Kern geht es darum, dass einige Anwendungen von Angreifern verteilte Links zu Dateien mit Schadcode ungeprüft an das Betriebssystem übergeben, welches die Datei in einigen Fällen ohne Weiteres Zutun eines Opfers ausführt. Davor warnen Sicherheitsforscher von Positive Security in einem Blog-Beitrag. Betroffene Anwendungen Im Beitrag führen sie mögliche Angriffsszenarien für beispielsweise verschiedene Bitcoin Wallets, LibreOffice, Nextcloud, Telegram, VLC und Wireshark aus. Die Sicherheitsforscher gehen davon aus, dass noch weitere Anwendungen von der Sicherheitsproblematik betroffen sind. Die Unstimmigkeiten bei der Überprüfung von Nutzereingaben durch Anwendungen und Betriebssysteme sind aufgrund der Vielfalt ein komplexes Thema. Beispielsweise Browser verhalten sich den Forschern zufolge aufgrund verschiedener Sicherheitschecks vorbildlich. Das ist aber längst nicht bei allen Anwendungen selbstverständlich. Erschwerend kommt hinzu, dass sich Betriebssysteme nicht einheitlich verhalten. Bei Linux sind die Restriktionen von der Desktop-Umgebung abhängig. Hier stufen die Sicherheitsforscher XFCE als besonders anfällig für solche Attacken ein. Windows sehen sie auch als besonders gefährdet an. Angriffsbeispiel Windows führt .jar-Dateien von einer WebDav-Freigabe ohne einen Sicherheitshinweis direkt aus. So könnte ein Angreifer beispielsweise Nutzern des VLC Players eine präparierte Playlist mit einem Verweis auf eine mit Schadcode versehene .jar-Datei unterschieben. Öffnet ein Opfer die Playlist, gelangt Schadcode auf den Computer. Eigenen Angaben zufolge haben die Forscher das erfolgreich unter Windows 10 19042 mit einer JRE-Installation ausprobiert. Unter Linux ist das Aufgrund von Restriktionen (URI-Blocker etc.) nicht ohne Weiteres möglich. Sicherheitspatches Die Sicherheitsforscher geben an, dass einige Entwickler der erwähnten Anwendungen bereits an Updates arbeiten. Zum Beispiel soll die gegen solche Attacken abgesicherte VLC-Version 3.0.13 zeitnah erscheinen. Die LibreOffice-Entwickler haben wiederum bislang nur die Windows-Version abgesichert. Bei Xubuntu (XFCE) sehen sie die Linux-Entwicker in der Verantwortung. Um die Sicherheitsprobleme aus der Welt zu schaffen, sind neben den Anwendungsentwicklern also auch die Entwickler der Betriebssysteme gefragt. (des) Zur Startseite

weiterlesen: RSS Quelle öffnen