close notice<\/p>\n
\n This article is also available in It was translated with technical assistance and editorially reviewed before publication.\n <\/p>\n \n Don\u2019t show this again.\n<\/p>\n Eine Schwachstelle in YubiKey Manager, libfido2 und python-fido2 erm\u00f6glicht Angreifern, der Software Schadcode unterzuschieben. Yubico stellt aktualisierte Softwarepakete bereit, die die L\u00fccken stopfen sollen.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Davor warnt Yubico in einer Sicherheitsmitteilung<\/a>. F\u00fcr die Open-Source-Projekte YubiKey Manager<\/a>, libfido2<\/a> sowie python-fido2<\/a> stehen seit Mittwoch dieser Woche aktualisierte Quellen respektive Installer bereit. Sie schlie\u00dfen alle Schwachstellen, die unter Windows aufgrund eines Problems mit dem DLL-Suchpfad auftreten k\u00f6nnen. Haben Angreifer die M\u00f6glichkeit, Dateien im Installationsverzeichnis der betroffenen Software abzulegen, k\u00f6nnen sie dadurch eigenen Code zur Ausf\u00fchrung bringen. <\/p>\n Die verwundbare Software nutzt die Funktionen LoadLibrary(TEXT(„DLL_NAME“)), was den Suchpfad nicht auf das System32-Verzeichnis beschr\u00e4nkt. Durch die Nutzung von LoadLibraryExW(L“DLL_NAME“, NULL, LOAD_LIBRARY_SEARCH_SYSTEM32) respektive WinDLL(„DLL_NAME“, winmode=LOAD_LIBRARY_SEARCH_SYSTEM32) korrigieren die Yubico-Entwickler den sicherheitsrelevanten Fehler jedoch. Wenn die betroffene Software mit Administratorrechten auf den Verzeichnissen gesch\u00fctzt ist, w\u00fcrden Angreifer ebenfalls diese Zugriffsrechte ben\u00f6tigen, schr\u00e4nkt Yubico jedoch ein (CVE-2026-40947, CVSS 7.0, Risiko \u201ehoch\u201c). Abweichend von Yubicos Einsch\u00e4tzung stuft MITRE die L\u00fccke<\/a> lediglich als niedriges Risiko ein (CVSS 2.9, Risiko \u201eniedrig\u201c).<\/p>\n Aktualisierte Software sch\u00fctzt<\/p>\n Yubico empfiehlt Nutzern und Nutzerinnen, auf die fehlerkorrigierten Versionen zu aktualisieren: libfido2 1.17.0, python-fido2 2.2.0 sowie yubikey-manager 5.9.1. Entwickler, die die verwundbaren Bibliotheken in ihren Apps verwenden, sollten die Microsoft-Hinweise zum Schutz vor DLL-Preloading-Angriffen<\/a> nachvollziehen, um ihre Software vor diesen Arten von Angriffen zu sch\u00fctzen.<\/p>\n Vor rund zwei Jahren hatte Yubico bereits eine Sicherheitsl\u00fccke in YubiKey Manager geschlossen, die Angreifern die Ausweitung<\/a> ihrer Rechte im System erm\u00f6glichte. Im September 2024 erlangte ein Cloning-Angriff \u00fcber einen Seitenkanal in der Firmware von Yubikey-Hardware Bekanntheit. Er hat den Namen EUCLEAK<\/a> erhalten.<\/p>\n
\n English<\/a>.<\/p>\n