Yubico, ein Anbieter von Hardware-Sicherheitstokens wie dem YubiKey, hat eine Sicherheitsl\u00fccke in verschiedenen Open-Source-Komponenten seiner Produktpalette adressiert. Betroffen sind die Softwareprogramme YubiKey Manager, libfido2 sowie python-fido2. Diese Schwachstelle, die durch ein Problem im DLL-Suchpfad auf Windows-Systemen entsteht, erm\u00f6glicht Angreifern unter bestimmten Umst\u00e4nden die Ausf\u00fchrung ihres eigenen Codes innerhalb der Anwendungsumgebung. Die Sicherheitsl\u00fccke resultiert aus der Funktionsweise von codeLoadLibrary(TEXT(DLL_NAME)), welche den Suchpfad f\u00fcr externe Bibliotheken nicht auf das System32-Verzeichnis beschr\u00e4nkt. Dadurch k\u00f6nnen Angreifer, wenn ihnen Zugriff auf das Installationsverzeichnis der Software m\u00f6glich ist, eigene Dateien einf\u00fcgen und deren Ausf\u00fchrung durch die betroffene Anwendung erzwingen. Um dieses Risiko zu entsch\u00e4rfen, haben Yubico-Entwickler die entsprechenden Funktionen in den aktuellen Versionen modifiziert. Anstelle von codeLoadLibrary(TEXT(DLL_NAME)) wird nun entweder codeLoadLibraryExW(L DLL_NAME, NULL, LOAD_LIBRARY_SEARCH_SYSTEM32) oder codeWinDLL(DLL_NAME, winmodeLOAD_LIBRARY_SEARCH_SYSTEM32) verwendet. Diese \u00c4nderungen beschr\u00e4nken den Suchpfad explizit auf das System32-Verzeichnis, wodurch die M\u00f6glichkeit der Schadcode-Einf\u00fchrung eliminiert wird. <\/p>\n
Obwohl Yubico die Schwachstelle als hochriskant (CVSS 7.5) eingestuft hat, hebt Microsoft in seinen Sicherheitshinweisen hervor, dass ein erfolgreicher Angriff nur unter bestimmten Voraussetzungen m\u00f6glich ist, n\u00e4mlich wenn Angreifer direkten Zugriff auf das Installationsverzeichnis der betroffenen Software haben. Dennoch betont Yubico die Bedeutung des Updates f\u00fcr alle Nutzer, da es ein effizientes Mittel zur Abwehr dieses potenziellen Angriffsvektors darstellt. Die aktualisierten Versionen sind libfido2 1.17.0, python-fido2 2.2.0 und yubikey-manager 5.9.1. <\/p>\n
Dar\u00fcber hinaus empfiehlt Yubico Entwicklern, die diese Bibliotheken in ihren Anwendungen einbinden, Sicherheitsma\u00dfnahmen wie das Verhindern von DLL-Preloading-Angriffen durchzusetzen, um ihre Software umfassend zu sch\u00fctzen. Diesem Update geht eine Reihe weiterer Sicherheitsvorf\u00e4lle im Zusammenhang mit YubiKey und seinen zugeh\u00f6rigen Komponenten voraus, darunter eine zuvor behobene Rechteausweitungssicherheit in YubiKey Manager sowie der k\u00fcrzlich gewordene Cloning-Angriff EUCLEAK auf die Firmware der Hardware. Diese kontinuierlichen Bem\u00fchungen zur Adressierung von Sicherheitsl\u00fccken unterstreichen das Engagement von Yubico f\u00fcr die Sicherheit und Zuverl\u00e4ssigkeit seiner Produkte.<\/p>\n
Schlagw\u00f6rter: Yubico + YubiKey + DLL<\/p>\n","protected":false},"excerpt":{"rendered":"
Yubico, ein Anbieter von Hardware-Sicherheitstokens wie dem YubiKey, hat eine Sicherheitsl\u00fccke in verschiedenen Open-Source-Komponenten seiner Produktpalette adressiert. Betroffen sind die Softwareprogramme YubiKey Manager, libfido2 sowie python-fido2. Diese Schwachstelle, die durch ein Problem im DLL-Suchpfad auf Windows-Systemen entsteht, erm\u00f6glicht Angreifern unter bestimmten Umst\u00e4nden die Ausf\u00fchrung ihres eigenen Codes innerhalb der Anwendungsumgebung....<\/p>\n","protected":false},"author":4,"featured_media":16392,"comment_status":"","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-16393","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/posts\/16393","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=16393"}],"version-history":[{"count":0,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/posts\/16393\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=\/wp\/v2\/media\/16392"}],"wp:attachment":[{"href":"https:\/\/byte-bucket.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=16393"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=16393"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/byte-bucket.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=16393"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}