MÜNCHEN (COMPUTERWOCHE) - Der kalifornische IT-Security-Spezialist Symantec hat einen Patch für ein Sicherheitsloch in seiner "Antivirus Corporate Edition" Version 9.0 herausgegeben. Die Schwachstelle besteht darin, dass die Antivirussoftware Benutzernamen und Passwörter in Textform in einer lokalen Log-Datei abspeichert, sobald sich der "LiveUpdate"-Client mit einem LiveUpdate-Server innerhalb des Unternehmens verbindet, um neue Signaturen oder Programm-Updates in Empfang zu nehmen. Theoretisch können alle Anwender des Systems auf diese Datei zugreifen. Die Gefahr des Missbrauchs steigt, wenn genau dieser Benutzername beziehungsweise dasselbe Passwort für den Zugriff auf andere, kritischere Systeme im Unternehmen verwendet werden.

Bekannt wurde das von Symantec als "medium risk" eingestufte Problem vergangene Woche durch ein Posting in der Mailing-Liste "Bugtraq". Betroffen ist nach Angaben des Unternehmens der "LiveUpdate Client" in der Version 2.7, für den mittlerweile unter http://www.symantec.com/techsupp/files/lu/lu.html ein Update zur Verfügung steht. Dennoch empfiehlt das Unternehmen in einem Advisory, Live-Update-Nutzer-Accounts ausschließlich für den Zugriff auf LiveUpdate zu verwenden. (kf)