О результатах расследования сообщил тимлид и реверс-инженер из компании «Доктор Веб» Николенко Константин (также известен под ником Veliant). При анализе бесплатного антивирусного решения Avira Free Antivirus немецкой компании Avira GmbH & Co. KG было установлено, что один из компонентов собирает учетные данные и выводит их в открытом виде в консоль.
Технические детали
Уязвимость была обнаружена при анализе компонента под названием «Avira.PWM.NativeMessaging.exe», размещенного по пути «%ProgramFiles%\Avira\Launcher\». Его код скомпилирован для платформы .NET и не обфусцирован, что позволяет проверить его функциональность.
«Avira.PWM.NativeMessaging.exe» представляет собой консольную утилиту, которая считывает данные, вводимые пользователем и выполняет их дальнейшую обработку.
Функция «Read» считывает данные пользовательского ввода из стандартного потока (Standard input, stdin) и передает их в функцию «ProcessMessage». Если переданная команда использует методы «fetchChromePasswords» или «fetchCredentials», то вызывается функция «RetrievBrowserCredentials».
В свою очередь, функция «RetrievBrowserCredentials» собирает сохраненные пользователем в браузерах (Chrome, Firefox, Opera, Edge) учетные данные и сохраняет их в виде объекта JSON. Затем собранные данные выводятся в терминал в строковом виде.
Риски безопасности
Работа компонента «Avira.PWM.NativeMessaging.exe» вызывает несколько проблем безопасности. Во-первых, бинарный файл, подписанный цифровой подписью Avira, собирает учетные данные пользователя. Во-вторых, программа, вызывающая бинарный файл никак не верифицируется, т.е. вызов может инициировать вредоносная программа. Наконец, компонент работает автономно, как отдельное приложение.
Данной уязвимости был присвоен идентификатор CVE-2020-12680. Компания Avira была проинформирована о проблеме 7 апреля 2020 года, но спустя месяц, описываемый компонент по-прежнему доступен в дистрибутиве Avira Free Antivirus . Кроме того, немецкий вендор никак не отреагировал на письма с сообщениями об уязвимости.
Угрозы безопасности
• Google настоятельно рекомендует отказаться от паролей
• Trend Micro устранила критические уязвимости в Apex Central и Endpoint Encryption
• Mozilla запускает новую систему для обнаружения расширений в Firefox, ворующих криптовалюту
• Qualcomm устранила три эксплуатируемые уязвимости нулевого дня в Adreno GPU
• Утечка данных: в сеть слиты данные 184 миллионов аккаунтов, включая пароли от Google, PayPal и Netflix
• Вредоносные расширения для Chrome крадут данные, маскируясь под Fortinet, YouTube, ИИ-помощники и VPN