Schwere Sicherheitslücke bei Uplay-Client (Update)

Ein Sicherheitsexperte von Google hat eine schwerwiegende Sicherheitslücke in Ubisofts DRM-Client Uplay entdeckt und zwar per Zufall. Beim Einrichten von Assassin's Creed Revelations entdeckte er, dass ein unsicheres Browser-Plugin installiert wird. Tavis Ormandy, Sicherheitsexperte bei Google, entdeckte die Uplay-Lücke per Zufall - nämlich während des Urlaubs. Ormandy, der wie er selbst bei 'Seclists.org' schreibt, alles andere als ein großer Gamer und entsprechend auch nicht in Spielesicherheit interessiert ist, hat aber dennoch Assassin's Creed auf dem PC installiert.

Dabei entdeckte er nach der (erforderlichen) Installation von Uplay, dass mit dem Browser-Plugin ein große Lücke aufgerissen wird: "Das gewährt Webseiten umfassenden Zugang, zumindest ist es bei mir so", schreibt Ormandy, der meinte, dass sich das jemand anderes (der sich für Gaming-Sicherheit interessiert) genauer ansehen soll.


Das geschah dann auch, auf 'Hacker News' bestätigen mehrere Nutzer, dass alle mit Uplay verbundenen Spiele diese Lücke aufweisen. Ormandy selbst veröffentlichte bei seiner ursprünglichen Meldung einen so genannten Machbarkeitsnachweis ("Proof of Concept"), mit dem die Lücke ausgenützt werden kann.

Für das Veröffentlichen des Machbarkeitsnachweises, der mittlerweile von anderen Mitgliedern bestätigt worden ist, wurde er von anderen Hacker-News-Nutzern übrigens kritisiert, da er offenbar Ubisoft nicht als erstes in Kenntnis davon gesetzt hat. Wozu das Browser-Plugin überhaupt (seitens Ubisoft) dient und ob es sich überhaupt um ein Rootkit (bzw. welcher Art) handelt, ist zum jetzigen Zeitpunkt nicht ganz klar.

Laut aktuellen Analysen von 'Eurogamer' ist es durchaus möglich, dass mit Hilfe der Lücke Trojaner oder Skripte auf dem Rechner des jeweiligen Nutzers platziert werden könnten. Hinweise darauf, dass Uplay ein Rootkit sei, habe man dagegen nicht gefunden. Nach Angaben von Eurogamer entstehe zwar der Eindruck eines "erheblichen Versäumnisses" seitens Ubisoft, "böswillige Absicht" konnte man jedoch nicht erkennen. Bis Ubisoft den Uplay-Client gepatcht hat, sollten Spieler das Uplay-Plugin im Browser besser deaktivieren.

Update 17.20 Uhr: Ubisoft hat mittlerweile ein Uplay-Update veröffentlicht, das die Lücke schließen soll. Das betroffene Browser-Plugin kann nach Installation von Update 2.0.4 nur noch Uplay-Anwendungen starten.

Vielen Dank an WinFuture-Leser lufkin für den Hinweis zum Update