Ubisofts UPlay mit ernsthafter Sicherheitslücke

Update: Ubisoft hat einen Patch auf Version 2.0.4 für UPlay veröffentlicht, der die Sicherheitslücke offenbar schließt. "Fix für das Browser-Plugin. Plugin kann jetzt nur die UPlay-Anwendung öffnen", heißt es im Changelog.

Wir haben das neue Update getestet und können bestätigen, dass das Problem allem Anschein nach behoben wurde. Wenn ihr ein Spiel mit UPlay-Support besitzt, empfehlen wir den Start des Clients und die Installation des Updates, um das Schlupfloch zu schließen.

Originalmeldung: Ubisofts UPlay-Client weist offenbar eine ernsthafte Sicherheitslücke auf, die es dem Programmierer Tavis Ormandy zufolge bösartigen Webseiten ermöglichen könnte, euren PC zu kontrollieren. Betroffen sind alle mit PC-Spielen von Ubisoft, die UPlay verwenden, darunter mehrere Assassin's-Creed-Titel (AC2 bis Revelations), H.A.W.X. 2, Splinter Cell: Conviction und das kürzlich veröffentlichte Ghost Recon: Future Soldier.

"Als ich kürzlich im Urlaub war, kaufte ich ein Videospiel namens 'Assassin's Creed Revelations'. Ich hatte noch nicht viele Gelegenheiten, es zu spielen, aber bis jetzt scheint es ganz spaßig zu sein", schreibt Ormandy. "Mir ist jedoch aufgefallen, dass der Installationsprozess ein Browser-Plugin für den UPlay-Launcher erstellt, das unerwarteterweise (zumindest für mich) Webseiten umfassenden Zugang gewährt."

"Ich weiß nicht, ob das mit Absicht geschieht, aber ich dachte, ich sollte es erwähnen, falls sich jemand das genauer ansehen will (Ich interessiere mich nicht wirklich für die Sicherheit von Videospielen, ich schotte meinen Spielerechner via Air-Gap ab)."

Gleichzeitig lieferte er auch einen Machbarkeitsnachweis, der zeigt, wie die Sicherheitslücke ausgenutzt werden kann. Ruft man eine spezielle Webseite mit diesem Code auf, wird UPlay gestartet und der Windows-Rencher läuft komplett unabhängig von den Eingaben des Users. Wir haben es nach der Installation von Assassin's Creed und dem Update auf die aktuellste UPlay-Version getestet. Es reicht wohl, wenn man sagt, dass browserbasierte Skripte nicht in der Lage sein sollten, jedweden ausführbaren Code außerhalb des Browsers zu starten, aber genau das passiert.

Die Konsequenzen daraus bereiten Sorge: Der Exploit könnte benutzt werden, um Trojaner oder andere Schadsoftware auf eurem PC zu installieren. Man könnte Skripte platzieren, die jedwede Daten auf eurem PC löschen, auf die der User Zugriff hat. Es ist sehr unwahrscheinlich, dass Ubisoft diese Hintertür absichtlich offen gelassen hat, aber es scheint, dass es sich hierbei um ein Übersehen handelt, das das Unternehmen mit höchster Dringlichkeit korrigieren sollte.

Darüber hinaus gibt es Anschuldigungen, dass es sich bei UPlay um ein "Root Kit" handelt. Damit deutet man an, dass es entscheidende System-Tools für sich beansprucht und sie davon abhält, die Dateien des Angreifes darzustellen. Wir haben nichts entdeckt, was darauf hinweist, dass UPlay irgendwelche böswilligen Absichten dieser Art hat. Und obwohl es den Anschein eines erheblichen Versäumnisses macht, glauben wir nicht, dass Hacker dadurch Root-Zugriff auf euren PC erhalten. Die Benutzerkontensteuerung von Windows sollte sich zu Wort melden, wann immer ein solcher Versuch unternommen wird.

Wie kann man sich also schützen? Jeder, der einen PC-Titel von Ubisoft mitsamt UPlay installiert hat, kann diesen Exploit umgehen, indem er das UPlay-Browser-Plugin deaktiviert - in der Theorie ist es so einfach. Indem man den Browser davon abhält, das Plugin mitsamt der Hintertür auszuführen, ist auch dieser wichtige Zugang zum Rechner nicht vorhanden und bösartiger HTML-Code, der diesen Exploit ausnutzen soll, wird nicht funktionieren.

Auf Nachfrage von Eurogamer gab Ubisoft keinen Kommentar zu dem Thema ab.