Een programma waarmee een Amerikaanse school leerlingen bespioneerde is kwetsbaar voor hackers, die zo ook mee kunnen kijken. Het Lower Merion schooldistrict gebruikte LANRev om gestolen en verloren laptops te monitoren. Het deed dit zonder dat ouders en leerlingen waren ingelicht. In februari raakte het schooldistrict in opspraak, toen één van de leerlingen werd bestraft wegens "ongepast gedrag" dat hij thuis vertoonde. De schooldirecteur gebruikte een door de webcam gemaakte foto als bewijs. Na onderzoek bleek dat er van verschillende leerlingen 56.000 foto's en screenshots waren gemaakt. Het zou hier om een incident gaan. In veel gevallen bleef de software ingeschakeld, ook al was de gestolen of verloren laptop in kwestie weer terecht.

Een beveiligingsbedrijf heeft nu ontdekt dat er een lek in de LANRev software zit, waardoor aanvallers toegang tot alle machines kunnen krijgen waar de software op geïnstalleerd is. Het probleem zit hem in de symmetrische-sleutel encryptie die voor de authenticatie tussen client en server wordt gebruikt. Dit staat los van de tracking-feature om gestolen en verloren laptops mee op te sporen. Daardoor zijn zelfs machines die deze optie niet gebruiken kwetsbaar.

Duits gedicht
De authenticatie-sleutel wordt in de client-side en server software bewaard en is vrij eenvoudig te ontcijferen, aldus Frank Heidt, CEO van Leviathan. Na slechts een paar uur had het bedrijf achterhaald dat het om een couplet van een Duits gedicht ging. Elke computer met LANRev gebruikt dezelfde sleutel. De client software is zo ingesteld dat die elke minuut met de server verbinding maakt om te zien of er nog opdrachten zijn.

Een aanvaller die de sleutel weet en deze ping op het netwerk kan onderscheppen, kan zich daardoor als de server voordoen. Hiervoor moet de aanvaller wel op hetzelfde netwerk als de aangevallen machine zitten, maar dat is in het geval van een internetcafé of draadloos schoolnetwerk niet ondenkbaar. Aangezien de LANRev software met administratorrechten draait, kan de aanvaller vervolgens malware installeren. Absolute Software, de eigenaar van LANRev, zegt dat het in juni met een versie komt die OpenSSL voor de encryptie gebruikt.