heise-security:

http://www.heise.de/newsticker…87501.html

jetzt müssen nur noch die User auch die Updates ausführen.
die Logs hier ua. im Forum zeigen ja teilweise "ural-Version" - wobei die könnten ja fast schon wieder Glück haben, dass diese von der Schwachstelle nicht betroffen sind

Darauf hab ich gewartet. Endlich kann nicht nur auf Windows geschimpft werden.

Die Schwachstelle ist nicht remote ausnutzbar sondern eine lokale Privilege Escalation. Da Homebanking aber jedoch im Rechte-Context des Users laeuft - z.Bsp. im Browser oder in einer Banking-Anwendung - ist eine solche Schwachstelle fuer einen Angriff in der Regel gar nicht noetig. Wenn der Browser manipuliert wurde (sei es durch falsche Proxy-Einstellungen, ein kompromittiertes Plugin oder eine XSS-Luecke), kann bereits darueber der Angriff gefahren werden. Root-Rechte sind dafuer nicht noetig.

Sprich: Wenn ein Angreifer erstmal auf dem Rechner ist, ist eh schon Hopfen und Malz verloren. Da braucht es die genannte Sicherheitsluecke gar nicht mehr.

Von daher wuerde ich diese Luecke im Context Homebanking nicht ueberbewerten. Die ist eher auf Web-Servern gefaehrlich. Der typische Fall: Man hat irgendwo ein SSH-Login (sei es bei Sourceforge, SuSE-Build-Service oder auf einem VHost-Server). Mit der Luecke kann man jetzt u.U. Root werden und den ganzen Server uebernehmen.

Aber braucht es zum "Root werden" nicht ein Passwort?

Ja, das Root-Passwort. Worauf ich hinweisen wollte, war lediglich, dass es dieses i.d.R. nicht braucht, um einen Angriff zu fahren. Wenn man sich mit Zugang zum Rechner verschafft hat, reichen fuer einen Angriff i.d.R. die normalen User-Rechte.