Орманди объяснил, что в некоторых ситуациях антивирусный движок Symantec небезопасным образом обрабатывал определенный тип данных, что могло приводить к ошибке переполнения буфера.
Экслойт узявимости тривиален
Тавис пояснил, что “при обработке исполняемых файлов, сжатых ранними версиями aspack, в Symantec Antivirus Engine могла происходить ошибка переполнения буфера. Проблема происходила, когда происходило усечение секции данных, а именно когда значение SizeOfRawData превышало SizeOfImage. Ошибка наблюдалась в большинстве антивирусных продуктов Norton от Symantec”.
Эта уязвимость могла приводить к сбою антивирусного двигателя нестандартным способом, а злоумышленник таким образом получал административные привилегии и мог исполнять произвольный код на машине. Уязвимость имеет идентификатор CVE-2016-2208 и влияет на операционные системы Mac, Linux и Windows.
Орманди утверждает, что эксплуатировать уязвимость совсем несложно. Так как дыра безопасности находится в самом движке сканирования и активна при открытии и чтении любых файлов, а не только объектов, выбранных пользователем, мошенник может просто отправлять ссылку на размещенный на веб-сервере пакет эксплойтов по электронной почте.
Двигатель сканирования автоматически сканирует контент и компрометирует машину пользователя без взаимодействия с пользователем.
Эксплуатация в Windows приводила к BSOD
На компьютерах Windows по словам Орманди проблема особо значительна, так как антивирусный двигатель работает непосредственно в режиме ядра Windows.
Эксплуатация дыры безопасности приводила к повреждению Ring 0 - уровня ядра операционной системы с максимальными привилегиями, что отражается на взаимодействии с оборудованием, в частности с процессором и ОЗУ. Все это приводит к состоянию “паники ядра”, что иногда может вызывать отображение синего экрана BSOD.
CVE-2016-2208 повлияла на ряд продуктов Symantec: Symantec Endpoint Antivirus, Norton Antivirus, Symantec Scan Engine и Symantec Email Security. Орманди, считает, что другие продукты, использующие Symantec Antivirus Engine, также находились под угрозой.
Исследователь раскрыл уязвимость Symantec, и компания уже выпустила патч, который можно загрузить и обновить антивирусные продукты.
Critical Symantec fix being released later today via LiveUpdate. The other critical RCE vulns cant be fixed via LU, will require a patch.
— Tavis Ormandy (@taviso) 16 мая 2016 г.
Угрозы безопасности
• «Доктор Веб»: Во II квартале 2025 года выросло число атак банковских троянов и целевых шпионов для Android
• Уязвимость в сотнях моделей принтеров Brother и других брендов раскрывает стандартные пароли администратора
• Google: Хакеры обошли двухфакторную аутентификацию Gmail с помощью паролей для приложений
• «Утечка 16 миллиардов паролей» оказалась сборником старых данных
• Хакеры крадут пароли игроков через поддельные моды Minecraft на GitHub
• Ошибка ASUS Armoury Crate позволяет злоумышленникам получить права администратора Windows