Эксперт Google обнаружил уязвимость в антивирусе Symantec

2016-05-17 4404 комментарии
Исследователь проекта Project Zero Тавис Орманди обнаружил и помог устранить уязвимость в антивирусном движке Symantec, который является основным компонентом всей линейки продуктов компании

Орманди объяснил, что в некоторых ситуациях антивирусный движок Symantec небезопасным образом обрабатывал определенный тип данных, что могло приводить к ошибке переполнения буфера.

Эксперт Google обнаружил уязвимость в антивирусе Symantec

Экслойт узявимости тривиален

Тавис пояснил, что “при обработке исполняемых файлов, сжатых ранними версиями aspack, в Symantec Antivirus Engine могла происходить ошибка переполнения буфера. Проблема происходила, когда происходило усечение секции данных, а именно когда значение SizeOfRawData превышало SizeOfImage. Ошибка наблюдалась в большинстве антивирусных продуктов Norton от Symantec”.

Эта уязвимость могла приводить к сбою антивирусного двигателя нестандартным способом, а злоумышленник таким образом получал административные привилегии и мог исполнять произвольный код на машине. Уязвимость имеет идентификатор CVE-2016-2208 и влияет на операционные системы Mac, Linux и Windows.

Орманди утверждает, что эксплуатировать уязвимость совсем несложно. Так как дыра безопасности находится в самом движке сканирования и активна при открытии и чтении любых файлов, а не только объектов, выбранных пользователем, мошенник может просто отправлять ссылку на размещенный на веб-сервере пакет эксплойтов по электронной почте.

Двигатель сканирования автоматически сканирует контент и компрометирует машину пользователя без взаимодействия с пользователем.

Эксплуатация в Windows приводила к BSOD

На компьютерах Windows по словам Орманди проблема особо значительна, так как антивирусный двигатель работает непосредственно в режиме ядра Windows.

Эксплуатация дыры безопасности приводила к повреждению Ring 0 - уровня ядра операционной системы с максимальными привилегиями, что отражается на взаимодействии с оборудованием, в частности с процессором и ОЗУ. Все это приводит к состоянию “паники ядра”, что иногда может вызывать отображение синего экрана BSOD.

CVE-2016-2208 повлияла на ряд продуктов Symantec: Symantec Endpoint Antivirus, Norton Antivirus, Symantec Scan Engine и Symantec Email Security. Орманди, считает, что другие продукты, использующие Symantec Antivirus Engine, также находились под угрозой.

Исследователь раскрыл уязвимость Symantec, и компания уже выпустила патч, который можно загрузить и обновить антивирусные продукты.

© .

Комментарии и отзывы

Добавляя комментарий, ознакомьтесь с Правилами сообщества

Нашли ошибку?