Silicon Labs produziert Schaltkreise die speziell ältere serielle Schnittstellen(-protokolle) auf USB zugänglich machen. Die Installationsprogramme für die zugehörige Software und Treiber haben eine kritische Sicherheitslücke. Diese Lücke ermöglicht das Einschleusen eigener Bibliotheken und folglich das Unterschieben von eigenem Code.
Unzureichende Filterung
Silicon Labs hat die Sicherheitsproblematik hinter einem Log-in verborgen. Dennoch sind die CVE-Einträge zu den betroffenen Produkten öffentlich zugänglich. Diese Einträge zeigen, dass die Installer den Suchpfad nicht hinreichend filtern. Das führt zu sogenannten DLL-Injection-Lücken. Angreifer können diese Schwächen ausnutzen um ihre eigenen Rechte zu erweitern oder beliebigen Code beim Beginn der Installer auszuführen.
Betroffene Produkte
Insgesamt sind zehn Produkte von Silicon Labs von diesen Schwachstellen betroffen:
- Silicon Labs (8-Bit) IDE (CVE-2024-9490, CVSS 8.6, Risiko: steigert)
- Silicon Labs Configuration Wizard 2 (CVE-2024-9491, CVSS 8.6, hoch)
- Silicon Labs Flash Programming Utility (CVE-2024-9492, CVSS 8.6, hoch)
- Silicon Labs ToolStick (CVE-2024-9493, CVSS 8.6, hoch)
- Silicon Labs CP210 VCP Win 2k (CVE-2024-9494, CVSS 8.6, hoch)
- Silicon Labs CP210x VCP Windows (CVE-2024-9495, CVSS 8.6, hoch)
- Silicon Labs USBXpress Dev Kit (CVE-2024-9496, CVSS 8.6, hoch)
- Silicon Labs USBXpress 4 SDK (CVE-2024-9497, CVSS 8.6, hoch)
- Silicon Labs USBXpress SDK (CVE-2024-9498, CVSS 8.6, hoch)
- Silicon Labs USBXpress Win 98SE Dev Kit (CVE-2024-9499, CVSS 8.6, hoch)
Die Installationsprogramme für veraltete Betriebssysteme sind in anfälligen Versionen auf der Herunterladen-S. verfügbar.
Empfohlene Maßnahmen
Für Nutzer die diese Software darüber hinaus brauchen, empfiehlt es sich, den Support von Silicon Labs zu kontaktieren. Dort sollten sie nach fehlerkorrigierten Installationsprogrammen erkundigen. Bis auf einen allgemeinen Windows-Treiber für die CP210x-VCP-Module sind die Installer für viele USB-Konverter offensichtlich älter.
Es ist ratsam die bestehenden Installationsprogramme auf nicht konstant angebundene Medien wie USB-Sticks auszulagern. Das Löschen der Programme auf dem Hauptrechner mindert das Risiko, dass Angreifer diese Software zur Ausweitung ihrer Rechte benutzen.
Häufige DLL-Injection-Lücken
DLL-Injection-Lücken sind nicht nicht häufig. Die Sicherheit von Systemen wird dadurch beträchtlich gefährdet. Ein Exempel aus der Vergangenheit sind die Kaseya Unitrend Windows Agent. Im Jahr 2021 gab es dort gleichermaßen eine DLL-Injection- gleichermaßen eine Binary-Planting-Lücke. Diese Schwächen erlaubten es fremden Code einzuschleusen.
Kommentare