Schnell updaten

Schwere Sicherheitslücke im Support Assistant von HP

Um zu verhindern, dass Cyberkriminelle eine Schwachstelle in dem vorinstallierten Tool ausnutzen, sollen Nutzer das Sicherheitsupdate von HP aufspielen.
Von 
CSO | 09. September 2022 11:32 Uhr
HP-Nutzer sollten schnellstmöglich die aktuelle Version des Tools Support Assistant installieren.
HP-Nutzer sollten schnellstmöglich die aktuelle Version des Tools Support Assistant installieren.
Foto: Framesira - shutterstock.com

Der "HP Support Assistant" ist auf allen neuen Notebooks und Desktop-PCs des Herstellers vorinstalliert. Das Tool bietet eine automatisierte Fehlersuche und Problembehebung und verbessert eigenständig die Leistung des Geräts. Soweit so gut. Nun stellt sich diese Vorinstallation jedoch als Risikofaktor heraus.

DLL-Hijacking-Schwachstelle

Wie HP in einem Blogbeitrag berichtet, wurde die Schwachstelle im Support Assistant im Zuge eines Updates entdeckt. Sie wurde unter der Nummer CVE-2022-38935 veröffentlicht und mit 8,2 von 10 Punkten als potenziell hochgefährlich eingestuft, da Cyberkriminelle sie für das sogenannte "DLL Hijacking" ausnutzen können.

Der Grund: Starten HP-Kunden das Werkzeug "Tune Up" des Support Assistant, machen sie sich angreifbar. Denn dann können Angreifer das System dazu bringen, statt des Ordners für Windows-Systemkomponenten eine manipulierte DLL-Datei aus dem Softwareverzeichnis zu laden. Windows zieht mitgelieferte Varianten von DLL-Dateien für die Ausführung vor, um die Kompatibilität zu gewährleisten. Beim DLL Hijacking nutzen Angreifer diese Logik aus und verschaffen sich so hohe Zugriffsberechtigungen, in diesem Fall die des Support Assistant.

Betroffene HP-Geräte

Von der Schwachstelle betroffen sind alle Versionen des gefährdeten Tools, die älter als Version 9.11 sind sowie alle Versionen vor 1.38.2601.0. HP fordert alle Gerätenutzer dazu auf, die neueste Version von Support Assistant zu installieren, welche den Fix für die Sicherheitslücke enthält. Die aktuelle Version können Sie auf der HP-Webseite herunterladen.

Lesetipp: Google schließt Zero-Day-Lücke in Chrome

Melanie Staudacher ist Editor bei CSO. Ihr Schwerpunkt ist IT-Security.