Im Windows-Client der Fernwartungssoftware Teamviewer gibt es kritische Schwachstellen, die eine Rechteausweitung durch Treiberinstallation zulassen. Ein Angreifer benötigt aber Zugriff auf das Windows-System. Updates zum Schließen der Schwachstellen steht bereit. Wer den TeamViewer noch einsetzt, sollte daher reagieren.
Anzeige
TeamViewer Remote Clients-Schwachstelle
Ich bin die Nacht über einen Beitrag zu einer TeamViewer-Sicherheitslücke gestoßen und habe dann mal geschaut, was sich aktuell so tut. Der TeamViewer-Anbieter hat zum 25. September 2024 den Sicherheitshinweis TV-2024-1006: Improper signature verification of driver installation in TeamViewer Remote clients veröffentlicht.
In den TeamViewer Remote-Clients für Windows gibt es die Schwachstellen CVE-2024-7479 und CVE-2024-7481, die mit dem CVE 3.1-Score von 8.8 als "wichtig" bewertet wurden. Betroffen sind die Windows-Versionen von:
- TeamViewer Remote
- TeamViewer Tensor
Eine fehlerhafte Überprüfung der kryptographischen Signatur in der Komponente TeamViewer_service.exe des TeamViewer Remote Full Client & Host vor Version 15.58.4 (und weiteren im Sicherheitshinweis aufgeführten Versionen) für Windows ermöglicht es einem Angreifer mit lokalem, unprivilegiertem Zugriff seine Rechte zu erhöhen und Treiber zu installieren. Um diese Sicherheitslücke auszunutzen, benötigt ein Angreifer lokalen Zugriff auf das Windows-System.
Anzeige
heise hat das Thema im Beitrag Teamviewer: Hochriskante Lücken ermöglichen Rechteausweitung aufbereitet. Die Sicherheitslücke wurde mit Version 15.58.4 und den im Sicherheitshinweis aufgeführten zusätzlichen Versionen behoben. Ein Update auf die neueste verfügbare Version ist dringend zu empfehlen – sofern man den TeamViewer noch einsetzt.
Anzeige
Nutzt noch wer diese Software, wenn er es nicht muß? Frag' für 'nen Freund…
So ziemlich jeder mit dem ich zu tun habe.
Jupp, man kommt kaum drum herum. Und eine Alternative, die ähnlichen Komfort bietet (incl. einer brauchbaren Smartphone-App), habe ich bislang immer noch nicht gefunden. AnyDesk machte zuletzt ja auch eher negative Schlagzeilen.
Ich habe daher auch die kürzlich erfolgte Preiserhöhung hingenommen. Für bestimmte Szenarien ist Teamviewer "leider" immer noch top.
Da muss ich gleich mal nachschauen
Momentan crasht der Teamviewer wenn die Verbindung über Commandline aufgerufen wird.
https://community.teamviewer.com/English/discussion/comment/156991#Comment_156991
Diese Woche war sowieso ein Katastrophe bezüglich der Länge "High Vulnerabilities" Liste (https://www.cisa.gov/news-events/bulletins/sb24-267)
Wenn ich die Listen über die letzten paar Monate ansehe, kann eigentlich gar kein OS und keine SW mehr eingesetzt werden ;-) . Also das Thema ist zeitnah patchen und nochmals patchen.
Und genau deswegen ist die immer wieder übliche Praxis in Unternehmen, veraltete Software weiterhin einzusetzen und nicht immer auf neue Versionen umzustellen, so gefährlich. Ich kenne Industrie-Umgebungen, die immer noch auf Windows NT 4.0, Windows 2000, Windows XP und Windows 7 laufen. Und natürlich ist bei all diesen Systemen noch die RTM-Version bzw. nur ein Service Pack installiert und keine weiteren Updates.
Und ganz besonders bei Ärzten und Apotheken ist auch meist uralte Software im Einsatz und (damit die Software überhaupt läuft) sind noch sämtliche Schutzfunktionen auf den Systemen deaktiviert. Beispielsweise Windows Firewall und Benutzerkontensteuerung (UAC), wobei die Benutzer natürlich alle Admin-Rechte haben.
Solange diese Basics nicht besser werden, ist die Sicherheitslücke in TeamViewer eher unkritisch.
Kann mal jemand den für die betreffende Programmzeile Verantwortlichen fragen, was er sich dabei (nicht) gedacht hat? Kann man das nicht immer die für solche Programmzeilen Verantwortlichen fragen? Und die Antworten öffentlich machen zum draus Lernen, bevor's der nächste Programmierer selber (nicht) macht?
Wer "den Teamviewer noch einsetzt". Ich frage mich, wo das "noch" her kommt. Auf was sind die alle umgestiegen?
Ich bin mittlerweile (Gott sei's getrommelt und gepfiffen) im Ruhestand und nutze TeamViewer in der kostenlosen Version, um schnell mal jemandem im privaten Umfeld zu helfen, ohne gleich durch die halbe Stadt fahren zu müssen. Die meisten „Probleme" mit denen ich konfrontiert werde, sind Kleinigkeiten, Bedienungs-Hoppalas, die via TeamViewer mit ein paar Klicks behoben sind.
Geht das noch? Ich dachte TeamViewer hätte die kostenlose Privatnutzung inzwischen abgeschaltet, so dass man immer eine Lizenz benötigt.
Unter den Lizenz-Optionen (https://www.teamviewer.com/de/download/free-download-with-license-options) gibt es die „kostenlose Lizenz für den persönlichen Gebrauch" aktuell noch.
Vor einigen Monaten musste ich allerdings eine schriftliche Bestätigung online unterzeichnen, dass ich TeamViewer ausschließlich im privaten Rahmen verwende.
Vor allem ältere Menschen haben oft das Problem, dass sie versehentlich auf irgendeinen Menüpunkt in einem Programm klicken und dann nicht mehr weiter wissen.
Einer meiner Bekannten – ein mittlerweile 91-jähriger pensionierter Arzt – aktiviert immer wieder versehentlich die Leseansicht in Word und wundert sich, warum er nichts mehr schreiben kann.
Dafür reicht auch die Remotehilfe von MS