Sicherheitsproblem in FLEXnet Connect

Der FLEXnet Connect Client (und frühere Versionen unter dem Namen InstallShield Update Service) kann bei der Suche nach Updates auch Skripts herunterladen und ausführen. Das Problem ist, dass diese Skripts per HTTP heruntergeladen werden. Deshalb ist keine Verifzierung des Servers möglich und die Skripts werden nicht verschlüsselt. Dies kann es einem Angreifer ermöglichen, schädliche Skripts auszuführen, etwa indem er die Verbindung über einen Proxy oder mittels DNS-Angriff umleitet. Bis jetzt gibt es keine Lösung für das Problem, aber der folgende Artikel des US-CERT (United States Computer Emergency Readiness Team) nennt mögliche Workarounds:

Vulnerability Note VU#837092: InstallShield / Macrovision / Acresso FLEXnet Connect insecurely retrieves and executes scripts

Stefan Krueger