Исследователь Google Тавис Орманди обнаружил обе уязвимости, эксплуатируемые посредством RAR-файлов, и сообщил о них компании-разработчику.
More Symantec and Norton remote code execution vulnerabilities fixed today, full advisory is here. https://t.co/BLnaUQuI9l
— Tavis Ormandy (@taviso) 20 сентября 2016 г.
Ошибки безопасности как оружие
Многие современные антивирусы поддерживают сканирование файлов при передаче на компьютер. Данная возможность подразумевает исследование содержимого архивов, независимо от их формата - RAR, ZIP или др.
Все антивирусные программы могут распаковывать архивы и анализировать файлы внутри них. Если архив RAR содержит вредоносную программу, то работа продукта Symantec может завершиться сбоем, вызванным ошибкой чтения из-за выхода за пределы допустимых значений (CVE-2016-5309) или из-за нарушения целостности информации в оперативной памяти (CVE-2016-5310).
Symantec объясняет: “Эти ошибки могут привести к состоянию Denial of Service, но не представляют дополнительные возможности для эксплуатации”.
Опасность взлома системы
Хотя продукты Symantec не склонны к “дополнительным возможностям для эксплуатации”, отключение защиты открывает широкий простор для взлома операционной системы. Злоумышленник скорее всего не станет эксплуатировать уязвимости антивируса, а лишь отключит защитные механизмы продукта.
Кроме того, ошибками очень легко воспользоваться. Киберперступниками нужно всего-навсего отправить электронную почту с инфицированным архивом RAR или заманить пользователя на страницу с зараженным файлом.
Уязвимость затронула сразу несколько продуктов Symantec: Symantec Endpoint Protection (для Mac, Linux и Windows), Symantec Endpoint Protection Cloud (SEPC) (для Mac и Windows), Symantec Protection Engine, Symantec Web Gateway и другие корпоративные и серверные решения.
Компания выпустила патчи, устраняющие все проблемы. Некоторые из них уже были доставлены пользователям с помощью службы LiveUpdate.
В этом году Symantec уже третий раз устраняет критические уязвимости - ранее компания выпустила патчи в мае и июне.
В Твиттере Тавис не согласился с идентификаций Symantec обнаруженным им проблем как DoS-уязвимости и считает их проблемами удаленного исполнения кода. Исследователь даже представил фрагменты кода, которые служат доказательствами этой концепции.
Угрозы безопасности
• TP-Link исправила уязвимости ZTP в устройствах Omada
• DDoS-атаки сместились на игровые сервисы и госсектор, а каждая третья длится дольше суток
• Атаки Pass-ta-key позволяют вредоносным программам похищать синхронизированные ключи доступа Google
• VMware устранила три критические уязвимости, позволяющие обходить аутентификацию и выходить из виртуальной машины
• Фишинг через код устройства обходит ключи доступа Microsoft
• Переписки и документы пользователей Claude попали в поиск Google из-за публичных ссылок