> > > > Große Sicherheitslücken in Software von ASUS und Gigabyte

Große Sicherheitslücken in Software von ASUS und Gigabyte

Veröffentlicht am: von

gigabyte z390 mainboards logoWer ein Mainboard oder eine Grafikkarte eines beliebigen Herstellers verbaut hat und die entsprechenden Zusatzprogramme für eine Überwachung, ein Overclocking oder aber die LED-Steuerung verwenden möchte, der ist auf die dazugehörigen Anwendungsprogramme des jeweiligen Herstellers angewiesen.

Das auf Softwaresicherheit spezialisierte Unternehmen SecureAuth hat sich die Programme App Center, Aorus Graphics Engine, Xtreme Engine Utility und OC Guru II von Gigabyte sowie die Software mit ähnlichem Funktionsumfang von ASUS angeschaut und ist dabei auf insgesamt sieben gravierende Sicherheitslücken gestoßen. Bei ASUS betroffen ist vor allem die Aura Sync Software.

Die bereits dokumentierten Sicherheitslücken CVE-2018-18537, CVE-2018-18536 und CVE-2018-18535 sind in der Aura Sync Software enthalten und ermöglichen eine nicht authorisierte Codesausführung. Für die erwähnten Lücken gibt es ein Proof of Concept (PoC). Die Lücken bestehen also nicht nur in der Theorie, sondern können bereits aktiv genutzt werden, was mittels des PoC demonstriert wird. Viele der erwähnten Lücken sind weiterhin in den genannten Softwarepaketen enthalten und können ausgenutzt werden.

Dies ist vor allem daher möglich, da die Hersteller die Lücken auch nach Monaten noch nicht geschlossen haben. So hat SecureAuth ab dem November 2017 mit ASUS im Austausch gestanden und der Hersteller sagte wenig später, dass man die Lücken mit einem Update für die Aura Sync Software im April schließen wolle. Das Update im April hat aber keine der drei Lücken geschlossen und erst das Update im Mai adressierte eine von drei Lücken – zwei sind also weiterhin offen.

Die Software von Gigabyte ist ebenfalls von bereits dokumentierten Lücken betroffen. Diese sind als CVE-2018-19320, CVE-2018-19320, CVE-2018-19322 und CVE-2018-19323 bereits dokumentiert und ermöglichen unterschiedliche Ebenen an Zugriffen auf das System, sind aber nur teilweise als schwerwiegend einzustufen. Dennoch geht von ihnen eine Gefahr aus.

Laut Gigabyte sind die eigenen Produkte aber nicht von den erwähnten Sicherheitslücken betroffen bzw. man habe diese geschlossen. SecureAuth spricht weiterhin davon, dass die Lücken bestehen und eine Gefahr für die Systeme bestehe, auf denen die Software installiert ist.

Unklar ist, ob sich SecureAuth auch Software von anderen Hersteller angeschaut hat, denn auch MSI, ZOTAC, Sapphire und viele mehr bieten eigene Software-Pakete an. Wer einen potenziellen Angriffsvektor ausschließen möchte, sollte auf die Installation nicht benötigter Software verzichten. Schwieriger ist dies, wenn eine Installation automatisch und ohne Zutun des Nutzers erfolgt.

Social Links

Diesen Artikel bewerten:

Ø Bewertungen: 3

Tags

Kommentare (12)

Diskutiert das Thema in unserem Forum:
Große Sicherheitslücken in Software von ASUS und Gigabyte

Das könnte Sie auch interessieren:

  • DRAM Calculator 1.5.0 für Ryzen-Prozessoren veröffentlicht (Update)

    Logo von IMAGES/STORIES/2017/DRAM-CALCULATOR

    Yuri "1usmus" Bubliy hat den DRAM Calculator in der Version 1.5.0 veröffentlicht. Dieser richtet sich an alle Nutzer eines Ryzen-Prozessors von AMD. Die neueste Version gilt aufgrund des guten Vorgängers bereits als neue Referenz für das RAM-OC im Zusammenspiel mit den Ryzen-Prozessoren –... [mehr]

  • NV Scanner API: Automatisches OC nun auch für Pascal-GPUs

    Logo von IMAGES/STORIES/2017/NVIDIA-TITANXP

    Zusammen mit der Turing-Architektur hat NVIDIA eine neue NV Scanner API eingeführt, die ein effizientes und automatisches Overclocking ermöglichen soll. Neben der Tatsache, dass die Software dazu die Spannungs/Takt-Kurve abläuft, soll der neue OC Scanner vor allem durch den synthetischen... [mehr]

  • Power-Limit-Mods: NVFlash unterstützt nun auch die GeForce-RTX-Karten

    Logo von IMAGES/STORIES/2017/GEFORCERTX2080

    NVIDIA hat für die neuen GeForce-RTX-Karten hinsichtlich der Spannungsversorgung sowie dem Overclocking einige Beschränkungen eingebaut. Die eigenen Founders Editions haben ein Power-Limit von 260 W (GeForce RTX 2080 Ti) und 225 W (GeForce RTX 2080). Per Regler kann dieses um 23 % auf 320 bzw.... [mehr]

  • Große Sicherheitslücken in Software von ASUS und Gigabyte

    Logo von IMAGES/STORIES/2017/GIGABYTE_Z390_MAINBOARDS_LOGO

    Wer ein Mainboard oder eine Grafikkarte eines beliebigen Herstellers verbaut hat und die entsprechenden Zusatzprogramme für eine Überwachung, ein Overclocking oder aber die LED-Steuerung verwenden möchte, der ist auf die dazugehörigen Anwendungsprogramme des jeweiligen Herstellers... [mehr]

  • OBS unterstützt nun NVIDIAs RTX Encoder

    Logo von IMAGES/STORIES/2017/TURING-GPU

    Zusammen mit der Turing-Architektur führt NVIDIA einen neuen dedizierten Hardware-Encoder namens NVENC ein. Der neue NVENC-Encoder unterstützt H.265 (HEVC) bei 8K mit 30 FPS. Zudem werden nativ durch die Hardware HEVC YUV444 10/12b HDR bei 30 FPS, H.264 8K und VP9 10/12b HDR... [mehr]

  • NVIDIA FrameView bietet eine volle FPS- und Verbrauchs-Analyse

    Logo von IMAGES/STORIES/2017/NVIDIA-FRAMEVIEW

    Zusammen mit den ersten beiden Super-Modellen stellte NVIDIA mit FrameView ein neues Tool zur Analyse der FPS vor. Basis von FrameView ist PresentMon. NVIDIA hat die Software nun in die Beta entlassen und damit kann sich jeder die Beta 0.9.4124.26691055 herunterladen und eigene Analysen... [mehr]