Krytyczna awaria silnika antywirusowego Symantec naraża komputery na łatwe włamywanie się

Silnik antywirusowy używany w wielu produktach firmy Symantec ma łatwą do wykorzystania lukę w zabezpieczeniach, która może pozwolić hakerom łatwo ominąć komputery.

Luka została naprawiona przez firmę Symantec w wersji silnika antywirusowego (AVE) w wersji 20151.1.1.4, wydanej w poniedziałek za pośrednictwem usługi LiveUpdate. Wada składa się z warunku przepełnienia bufora, który może zostać wywołany podczas analizowania plików wykonywalnych ze zniekształconymi nagłówkami.

Według inżyniera bezpieczeństwa Google, Tavisa Ormandy, który wykrył usterkę, można wykorzystać tę lukę do zdalnego wykonania złośliwego kodu na komputerach. Wystarczy, że osoba atakująca wyśle ​​wiadomość e-mail z plikiem exploita jako załącznik lub w celu przekonania użytkownika do odwiedzenia złośliwego linku.

[Więcej informacji: Jak usunąć złośliwe oprogramowanie z komputera z systemem Windows]

Wykonywanie pliku nie jest konieczne, ponieważ silnik antywirusowy używa sterownika do przechwytywania wszystkich operacji wejścia i wyjścia systemu i automatycznie skanuje plik, gdy tylko dotrze do systemu plików w dowolny sposób.

Rozszerzenie pliku nie ma znaczenia, tak długo jak ponieważ plik ma nagłówek identyfikujący go jako przenośny plik wykonywalny zapakowany za pomocą ASPack, komercyjnego narzędzia kompresującego.

Najgorsze jest to, że program Symantec AVE rozpakowuje takie pliki wewnątrz jądra, który jest najwyżej uprzywilejowanym regionem systemu operacyjnego. Oznacza to, że pomyślna eksploatacja może doprowadzić do pełnego kompromisu systemowego.

"W systemach Linux, Mac i innych platformach UNIX, powoduje to przepełnienie sterty jako root w procesie Symantec lub Norton" - powiedział Ormandy w poradniku. "W systemie Windows powoduje to uszkodzenie pamięci jądra, ponieważ mechanizm skanowania jest ładowany do jądra, co powoduje, że jest to luka w zabezpieczeniach polegająca na uszkodzeniu pamięci - jest to o tyle złe, na ile jest możliwe."

Symantec ocenił lukę w zabezpieczeniach z wynikiem 10 punktów ciężkości na 10 punktów w systemie Common Vulnerability Scoring (CVSS).

"Najczęstszym objawem udanego ataku może być natychmiastowa awaria systemu, aka. Blue Screen of Death (BSOD) - mówi firma w swoim własnym poradniku.

Użytkownicy powinni upewnić się, że instalują najnowsze dostępne aktualizacje dostępne dla swoich produktów antywirusowych firmy Symantec i mogą sprawdzić wersję AVE, korzystając z instrukcji obsługi firmy Symantec strona internetowa.

Jest to najnowszy z wielu krytycznych luk znalezionych przez Ormandy i innych analityków bezpieczeństwa w produktach antywirusowych w ostatnich latach. Większość z nich skrytykowała dostawców oprogramowania antywirusowego za kontynuowanie wykonywania niebezpiecznych operacji skanowania plików, które w przeszłości powodowały luki w zabezpieczeniach jądra.